Odaily Planet Daily: Anthropic tarafından bakımı yapılan resmi mcp-server-git'te üç güvenlik açığı tespit edildi. Bu açıklar, istemci tarafı enjeksiyon saldırıları yoluyla kötü niyetli bir README dosyası veya zararlı bir web sitesi aracılığıyla, mağdur sisteme doğrudan erişim olmadan tetiklenebilir.
Bu açıklar, CVE-2025-68143 (sınırsız git_init), CVE-2025-68145 (yol doğrulama atlaması) ve CVE-2025-68144 (git_diff'te parametre enjeksiyonu) içerir. Dosya sistemi MCP sunucusu ile birlikte kullanıldığında, saldırganlar istenmeyen kod çalıştırabilir, sistem dosyalarını silebilir veya büyük dil modeli bağlamına herhangi bir dosyanın içeriğini okutabilir.
Cyata, mcp-server-git'in repo_path parametresini yoldan doğrulamaması nedeniyle saldırganların sistemin herhangi bir dizininde Git deposu oluşturabileceğini belirtti. Ayrıca, .git/config'de temizleme filtresi yapılandırılarak, saldırganların Shell komutlarını çalıştırmasına izin verildi. Bu işlem, yürütme izni olmadan yapılabilir. Anthropic, 2025 Aralık 17 tarihinde CVE numarası tahsis etti ve düzeltme yamasını sundu. Kullanıcıların mcp-server-git'in 2025.12.18 veya üzeri sürümüne yükseltmesi önerilir. (cyata)