A flaw has been found in chatboxai chatbox up to 1.20.0. This impacts the function StdioClientTransport of the file src/main/mcp/ipc-stdio-transport.ts of the component Model Context Protocol Server Management System. Executing a manipulation of the argument args/env can lead to os command injection. The attack can be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
CVE-2026-6130 is a remote OS command injection vulnerability in chatboxai chatbox versions up to 1.20.0 affecting the Model Context Protocol Server Management System. Attackers can manipulate args/env arguments in the StdioClientTransport function to execute arbitrary OS commands remotely.
يؤثر هذا الثغر على نظام إدارة خادم Model Context Protocol في chatboxai chatbox حتى الإصدار 1.20.0. يمكن للمهاجمين التلاعب بمعاملات الوسيطات والبيئة لتنفيذ أوامر نظام التشغيل بشكل تعسفي عن بعد. تم نشر استغلال الثغرة علناً والفريق لم يستجب بعد.
A remote command injection flaw exists in chatboxai chatbox up to version 1.20.0 in the Model Context Protocol component. Attackers can exploit argument manipulation to execute arbitrary operating system commands on affected systems.
Immediately upgrade chatboxai chatbox to version 1.20.1 or later. Implement input validation and sanitization for all args/env parameters in StdioClientTransport. Apply network segmentation to restrict access to the MCP server. Monitor for suspicious command execution patterns and implement Web Application Firewall (WAF) rules to block malicious payloads.
قم بالترقية الفورية إلى الإصدار 1.20.1 أو أحدث. طبق التحقق من صحة المدخلات وتنظيفها لجميع معاملات args/env في StdioClientTransport. طبق تقسيم الشبكة لتقييد الوصول إلى خادم MCP. راقب أنماط تنفيذ الأوامر المريبة وطبق قواعد جدار الحماية لحجب الحمولات الضارة.