CVE-2025-6514

Exécution de commandes arbitraires dans mcp-remote

La vulnérabilité CVE-2025-6514 affecte mcp-remote et permet l’exécution de commandes arbitraires sur le système d’exploitation. Elle survient lorsqu’un client MCP se connecte à un serveur MCP non fiable.

Points clés :

• La faille réside dans la gestion d’une URL de réponse de l’autorisation (authorization_endpoint).
• mcp-remote sert de proxy pour des applications comme Claude Desktop, Cursor et Windsurf pour se connecter à des serveurs MCP distants.
• Un serveur malveillant peut exploiter cette vulnérabilité lors d’une authentification pour injecter des commandes.

Vulnérabilité :

• CVE : CVE-2025-6514
• Type : Exécution de commandes arbitraires (Command Execution)
• Produit affecté : mcp-remote
• Versions affectées : 0.0.5 à 0.1.15

Recommandations :

• Mettre à jour mcp-remote vers la version 0.1.16 ou une version ultérieure.

Source