یک آسیب‌پذیری امنیتی با شناسه CVE-2026-89039 در سرور k6 MCP شناسایی شده است که به مهاجم اجازه می‌دهد فایل‌های حساس را از روی سیستم میزبان بخواند.
جزئیات فنی
این نقص امنیتی در بخش convert_playwright_script رخ داده است. در حالت عادی، مسیرهای ارسالی که با علامت ‘@’ شروع می‌شوند، به دایرکتوری کاری فعلی (Current Working Directory) محدود شده‌اند. با این حال، یک مسیر کدنویسی مستند نشده (Undocumented) وجود دارد که در صورت ارسال مسیرهای بدون پیشوند، هیچ‌گونه محدودیتی اعمال نمی‌کند.
تاثیرات امنیتی
- دسترسی غیرمجاز: کاربرانی که قادر به فراخوانی این Prompt هستند، می‌توانند هر فایلی را که توسط کاربرِ اجراکننده سرور قابل خواندن است، استخراج کنند.
- خروج از دایرکتوری: این آسیب‌پذیری اجازه می‌دهد فایل‌های خارج از محدوده کاری سرور (Outside Working Directory) خوانده شوند.
این مورد در دسته آسیب‌پذیری‌های Path Traversal قرار می‌گیرد و شدت آن Medium ارزیابی شده است.
