JVNDB-2026-006451

R.Huijts (r-huijts)のXcode MCP Serverにおける複数の脆弱性

r-huijtsのxcode-mcp-server（コミットID f3419f00117aa9949e326f78cc940166c88f18cbまで）に脆弱性が発見されました。この脆弱性はコンポーネントrun_lldbのsrc/tools/xcode/index.tsファイル内の関数registerXcodeToolsに影響します。引数argsの操作によりコマンドインジェクションが発生し、リモートから攻撃を仕掛けることが可能です。エクスプロイトが公開されており、悪用される恐れがあります。本製品は継続的デリバリーを目的としたローリングリリース方式を採用しているため、影響を受けるリリース及び更新されたリリースのバージョン詳細は提供されていません。パッチはコミットID 11f8d6bacadd153beee649f92a78a9dad761f56fとして特定されており、この問題を解決するために適用することが推奨されます。

R.Huijts (r-huijts)

• Xcode MCP Server 2025-08-26 およびそれ以前

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Vulnerability Database

• VulDB : CVE-2026-2178 r-huijts xcode-mcp-server run_lldb index.ts registerXcodeTools command injection (Issue 13 / EUVD-2026-5772)
• VulDB : Submit #749569: GitHub xcode-mcp-server master Command Injection

1. インジェクション(CWE-74) [その他]
2. コマンドインジェクション(CWE-77) [NVD評価]
3. コマンドインジェクション(CWE-77) [その他]

1. CVE-2026-2178

1. National Vulnerability Database (NVD) : CVE-2026-2178
2. 関連文書 : Refactor subprocess invocations to use runExecFile for improved security  r-huijts/xcode-mcp-server@11f8d6b  GitHub
3. 関連文書 : [security report] Command Injection in xcode-mcp-server  Issue #13  r-huijts/xcode-mcp-server (https://github.com/r-huijts/xcode-mcp-server/issues/13)
4. 関連文書 : [security report] Command Injection in xcode-mcp-server  Issue #13  r-huijts/xcode-mcp-server (https://github.com/r-huijts/xcode-mcp-server/issues/13#issue-3878065790)
5. 関連文書 : GitHub - r-huijts/xcode-mcp-server: MCP Server implementation for Xcode integration  GitHub

• [2026年03月09日]
    掲載