gemini-mcp-tool: correção de vulnerabilidade de segurança (leitura de arquivos e injeção de comandos)
Corrigida vulnerabilidade de segurança no gemini-mcp-tool.
O que mudou
Corrigida vulnerabilidade de segurança no gemini-mcp-tool. Entradas de prompt não confiáveis podiam alcançar o analisador @file do Gemini CLI, permitindo leitura/exfiltração de arquivos locais arbitrários. No Windows, metacaracteres não escapados do cmd.exe podiam resultar em injeção de comandos do SO. A correção (1.1.6) removeu o wrapping com aspas duplas shell:false quebrado, adicionou assertSafeFileReferences() para restringir referências @file ao diretório de trabalho e endureceu a citação de argumentos do cmd.exe no Windows.
Quem isso afeta
Todos os usuários do gemini-mcp-tool anteriores à versão 1.1.6, especialmente aqueles que processam entradas de prompt não confiáveis ou executam no Windows.
O que fazer hoje
Atualize para a versão 1.1.6 ou superior imediatamente.