GHSA-6hqx-gqrx-c5r2Git 配置可触发代码执行
客户端须让 Git 工具打开本地配置受攻击者控制的仓库。即使仅查询状态，也可能以 MCP 服务账户执行程序。
MCP 参考服务器修复 Git 代码执行及访问边界漏洞
MCP 参考服务器 v2.4.0 发布批次修复 Git、Filesystem 和 Fetch 的六个漏洞。不可信 Git 仓库可让只读工具以服务端权限执行代码。Windows 文件系统防护仍有限制。
- 披露时间
- 2026年11月11日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 6 个 CVE
- 波及范围
- 使用受影响 MCP 参考服务器的环境，尤其是让 Git 工具访问不可信仓库的部署。
- MCP · Git · Filesystem · Fetch
- 在野利用
- 未知
发生了什么
这批更新中，Git 漏洞的影响最直接。旧版服务在不可信仓库中运行状态或差异工具时，仓库的本地配置可触发程序执行。修复版会覆盖可能启动程序的配置项，并拒绝使用 Git 2.31 之前的版本。另一个 Git 漏洞可借备用对象库或关联工作树突破仓库边界，Windows 目录联接仍待修复。
Filesystem 的两个漏洞要求能替换本地目录并赢得竞争。发布说明列出的受影响版本为 2.3.0 之前的版本，包括 2025.1.14 至 2026.8.31 的日期版。维护者指出，Windows 上读取路径的竞争窗口已缩小，但未完全关闭。Fetch 的两个缺陷涉及地址分类和爬虫策略，其中 robots.txt 绕过不会绕过源站身份验证。公开公告包含复现细节，但没有确认的在野利用报告。Git 工具具备可复现的代码执行路径，因此评为 L3。
马桶里有什么
GHSA-q74p-4wrc-q7w6Git 仓库边界绕过
特制 Git 目录、备用对象库或关联工作树可将访问重定向到指定仓库之外。Windows 目录联接仍有残留风险。
GHSA-p9cv-8g75-4xcg文件读取竞争条件
能把已检查父目录换成符号链接的本地进程，可在读取时赢得竞争并使允许目录外的文件暴露。
GHSA-7m4x-rv66-mxhh文件移动竞争条件
同一设备内移动文件时，能替换已检查源目录的本地进程可改变被移入允许目录的文件。
GHSA-3rxj-6jhw-qfv7Fetch 私有地址检查缺陷
已弃用的 IPv6 站点本地地址可通过公网地址检查。实际影响取决于服务端的路由。
GHSA-f9hh-cmx9-2f23Fetch 爬虫规则绕过
当源站在提供内容前规范化路径时，路径的其他写法可绕过 robots.txt 检查。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| mcp-server-git | 2026.11.11 | |
| mcp-server-fetch | 2026.11.11 | |
| @modelcontextprotocol/server-filesystem | 2.3.0 |
案发时间线
2026年11月11日
维护者公布六份公告并发布修复
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。