CVE-2026-59176 — Functype: RCE MCP-i tööriista set_functype_version kaudu valideerimata pnpm install’i ja dünaamilise impordi tõttu

Functype-mcp-serveri set_functype_version MCP-tööriist aktsepteerib versioonistringi valideerimata, lisab selle otse npm-i paketispetsifikaatorisse ja käivitab pnpm install’i. Ründaja kontrolli all oleva paketi paigaldamise järel imporditakse see dünaamiliselt, mis võimaldab käivitada suvalist JavaScripti MCP-serveri protsessi õigustega. Allikas hindab mõju kõrgeks: CVSS 7.8.