CVE-2026-48989
CVE-2026-48989 · Windows-MCP: HTTP transports expose unauthenticated PowerShell control with wildcard CORS
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Windows-MCP is an open-source project that integrates AI agents with Windows. In versions prior to 0.7.5, certain HTTP modes exposed the MCP control plane without authentication while enabling wildcard CORS (allow_origins=*, allow_methods=*, allow_headers=*). Because the same server also exposed a PowerShell tool that executes caller-controlled commands as the Windows user running Windows-MCP, attackers could reach the control plane from arbitrary origins or non-browser clients and achieve arbitrary PowerShell execution. This issue was fixed in version 0.7.5.
CVSS 8.9 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
windows-mcp
- Softwareversionen
- < 0.7.5: Betroffen
Keine Korrektur veröffentlicht
windows-mcp PyPI
- Softwareversionen
- 0.6.5
- 0.6.6
- 0.6.7
- 0.6.8
- 0.6.9
- 0.7.0
- 0.7.1
- 0.7.3
- 0.7.4
- Betroffene Versionsbereiche
- ECOSYSTEM: < 0.7.5
Auf 0.7.5 aktualisieren