漏洞总结：Git 集成中的命令注入漏洞 (CWE-78) 漏洞概述 漏洞类型：命令注入 (Command Injection, CWE-78) 受影响组件： 中的 文件。 根本原因：攻击者可以通过 MCP/HTTP 接口提供恶意构造的输入，这些输入未经处理直接流向 OS 命令执行函数（如 ），导致任意系统命令执行。 影响范围 受影响版本：2.0.0 及包含相同请求到 sink 流的修订版本。 安全影响： 机密性：高（主机/系统数据暴露）。 完整性：高（命令执行可能改变服务器状态）。 可用性：高（通过滥用命令可能导致服务中断）。 CVSS 评分：10.0 (Critical)。 修复方案 1. 消除直接字符串执行：从请求驱动的代码中移除直接字符串执行。 2. 输入验证：在 MCP/HTTP 边界添加输入模式验证。 3. 回归测试：添加证明攻击者控制的值无法到达敏感 sink 的回归测试。 4. 发布安全公告：在补丁发布后发布维护者安全公告。 概念验证 (POC) 代码 1. Git 仓库准备 2. 设置项目 3. 复现请求**