Heym 修复 MCP stdio 传输命令执行漏洞
热点事件持续更新
Heym 修复 MCP stdio 传输命令执行漏洞
1 篇报道1 个报道来源2 小时前更新
先了解这件事
AI 综述
Heym 0.0.75 及更早版本的 POST /api/mcp/fetch-tools 端点存在命令执行漏洞 CVE-2026-67546（CVSS 8.8）。据 cve.now 披露，任何已登录用户（含最低权限角色）都可通过 stdio 传输，在共享后端主机上执行攻击者提供的命令与参数，且命令在 MCP 协议校验失败前就已产生副作用。 该端点上的 MCP stdio 传输在请求未指定传输方式时默认启用。Heym 已在 0.0.75 版本修复，目前无已知利用。
AI 根据报道生成 · 1 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
11月12日
- cve.nowHeym 修复 CVE-2026-67546：POST /api/mcp/fetch-tools 的 stdio 传输在 MCP 校验前执行攻击者命令
Heym 0.0.75 及更早版本的 POST /api/mcp/fetch-tools 端点存在命令执行漏洞 CVE-2026-67546（CVSS 8.8），任何已登录用户（含最低权限角色）可通过 stdio 传输在共享后端主机上执行攻击者提供的命令与参数，且命令在 MCP 协议校验失败前即已产生副作用。该漏洞已在 0.0.75 版本修复，目前无已知利用。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。