Alertas
Vulnerabilidades críticas en Anthropic 2025
02 Jul 2025
Vulnerabilidad crítica - 2 julio
Introducción
CVE-2025-49596 es una vulnerabilidad crítica de ejecución remota de código (RCE) en una herramienta llamada MCP Inspector, utilizada por desarrolladores que trabajan con inteligencia artificial y servidores compatibles con el protocolo MCP (Model Context Protocol).
Análisis
CVE-2025-49596 - CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H - 9.4
Se trata de una falla de Remote Code Execution (RCE) debida a la ausencia total de autenticación entre el cliente (web UI) y el proxy que ejecuta comandos via stdio. Las versiones anteriores a la 0.14.1 permiten que cualquier petición sin autenticación desencadene comandos arbitrarios.
Versiones afectadas
- Todas las versiones del paquete @modelcontextprotocol/inspector incluso globales o dentro de node_modules, anteriores a la 0.14.1.
Recomendaciones
- Habilitar la autenticación y verificar los hosts de forma predeterminada del MCP.
- Utilizar la versión más reciente del MCP.
Workarounds
No hay workarounds disponibles para esta vulnerabilidad.