A vulnerability was detected in Dayoooun hwpx-mcp 0.2.0. This affects the function save_document/export_to_text/export_to_html of the file mcp-server/src/index.ts of the component MCP Interface. Performing a manipulation of the argument output_path results in path traversal. Remote exploitation of the attack is possible. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
CVE-2026-7599 is a path traversal vulnerability in Dayoooon hwpx-mcp 0.2.0 affecting document export functions, allowing attackers to write files outside intended directories. Remote exploitation is possible and public exploits are available.
تؤثر هذه الثغرة على مكون واجهة MCP في ملف mcp-server/src/index.ts، حيث يمكن للمهاجمين التلاعب بمعامل output_path لكتابة الملفات في مواقع تعسفية. الاستغلال الموثق متاح للجمهور والمشروع لم يستجب للإخطار المبكر.
A path traversal flaw in hwpx-mcp 0.2.0 enables attackers to manipulate the output_path parameter in save_document, export_to_text, and export_to_html functions. This allows unauthorized file writes to arbitrary locations on affected systems.
Immediately upgrade hwpx-mcp to a patched version beyond 0.2.0. Implement input validation and sanitization for all file path parameters. Restrict file write operations to designated directories using allowlists. Apply principle of least privilege to service accounts running the MCP server. Monitor file system access patterns for suspicious path traversal attempts.
قم بترقية hwpx-mcp فوراً إلى إصدار مصحح يتجاوز 0.2.0. طبق التحقق من صحة المدخلات وتنظيفها لجميع معاملات مسارات الملفات. قيد عمليات كتابة الملفات على الدلائل المخصصة باستخدام قوائم بيضاء. طبق مبدأ أقل صلاحية على حسابات الخدمة التي تشغل خادم MCP. راقب أنماط الوصول إلى نظام الملفات للكشف عن محاولات اجتياز المسار المريبة.