Heimdall Security Logo

CVE-2026-104634

Vulnérabilité faible dans beam_mcp (ScriptKittyOS)

CVSS 2.3 · Faible
EPSS 0.3%
ScriptKittyOS•beam_mcp•Versions : <289dbdbad641943b29a3b8d1eb36506cc8cec10a, <0.10.1, 083838eb8e17fe5f6fcaf761bdbe203110288b0b, 0.1.0

Description

Incorrect Type Conversion or Cast vulnerability in BeamMCP.Server in ScriptKittyOS beam_mcp allows an MCP client's JSON true, false and null tool arguments to reach the host's dispatch function as the strings "true", "false" and "nil". After BeamMCP.Schema.validate/2 accepted a value as a boolean, normalize_arguments/2 passed every argument through to_json_value/1, whose atom clause converts true, false and nil to strings. A string is truthy in Elixir, so a host that tests a boolean argument, for example if args.dry_run, takes the opposite branch for false, and a guard such as confirm: false reads as set. The client controls the argument and could send true directly, so the practical impact is limited to hosts whose behaviour on false differs from their behaviour on true, and to any policy layer in front of the server that permits false but refuses true. The same normalisation applies to prompts/get arguments, which exist from 0.5.0. This issue affects beam_mcp: from 0.1.0 before 0.10.1.

Gravité et risque d'exploitation

CVE-2026-104634 obtient un score CVSS de 2.3/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.34 %, ce qui la place devant 26.2 % des CVE référencées.

Que faire ?

  • Vérifiez si beam_mcp (versions <289dbdbad641943b29a3b8d1eb36506cc8cec10a, <0.10.1, 083838eb8e17fe5f6fcaf761bdbe203110288b0b, 0.1.0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE