CVE-2026-88938
Vulnérabilité élevée dans knowns (knowns-dev)
CVSS 7.1 · Élevée
EPSS 0.5%
knowns-dev•knowns•Versions : 0, <=0.33.0
Description
knowns through 0.33.0 fails to confine the path argument of the code.find MCP tool to the project root, allowing AI agent sessions to read source files anywhere on the host. Attackers can supply absolute paths or relative traversal sequences to the path argument and retrieve full file contents from outside the intended project directory.
Gravité et risque d'exploitation
CVE-2026-88938 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.48 %, ce qui la place devant 40.1 % des CVE référencées.
Que faire ?
- Vérifiez si knowns (versions 0, <=0.33.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/knowns-dev/knowns/security/advisories/GHSA-5cj9-fcqq-g2h7
- https://github.com/knowns-dev/knowns/blob/v0.33.0/internal/mcp/handlers/code.go#L873-L902
- https://github.com/knowns-dev/knowns/blob/v0.33.0/internal/mcp/handlers/code.go#L1293-L1354
- https://www.vulncheck.com/advisories/knowns-through-0.33.0-path-traversal-via-code-find-mcp-tool