Codefriar sf-mcp: OS-Command-Injection über Salesforce-CLI-Flag-Werte
Zusammenfassung
sf-mcp bis Version 1.3.2 ist ein Model-Context-Protocol-Server, der die Salesforce CLI für LLM-Werkzeuge wie Claude Desktop bereitstellt. Flag-Werte werden nicht korrekt maskiert, sodass Backticks, $()-Ersetzungen und andere Shell-Metazeichen an execSync gelangen und mit den Rechten des MCP-Server-Benutzers ausgeführt werden. Ein Angreifer, der präparierte Eingaben liefern kann, etwa über Prompt Injection oder einen bösartigen MCP-Client, kann beliebige Shell-Befehle ausführen und erhält Zugriff auf die gespeicherten Salesforce-CLI-Zugangsdaten und Org-Daten.
Betroffen
- codefriar sf-mcp Versionen 0 bis 1.3.2 (gemäss CVE-Eintrag)
- Verwundbare Funktion: escapeValue() in src/utils.ts, verwendet von executeSfCommand
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde weder eine korrigierte Version noch eine Herstellerwarnung gefunden.
Umgehung
- Kein vom Hersteller bereitgestellter Workaround gefunden.
- Server auf Systemen deaktivieren oder entfernen, die ihn nicht benötigen.
- Server unter einem dedizierten Betriebssystem-Konto mit minimalen Rechten betreiben.
- Salesforce-Benutzer mit minimalen Berechtigungen und kurzlebigen Token verwenden; Admin-Zugangsdaten nicht wiederverwenden.
- Nur vertrauenswürdige MCP-Clients und -Server zulassen und Tool-Aufrufe von KI-Agenten vor der Freigabe prüfen.
Ausnutzung
- Öffentliche Beschreibungen und ein detailliertes GitHub-Issue beschreiben die Schwachstelle.
- Gemäss Stand 27. Okt. 2026 ist nicht bekannt, dass sie aktiv ausgenutzt wird.
- Nicht im CISA-KEV-Katalog. Der EPSS-Wert beträgt 0,65 Prozent.
Unsere Empfehlung
- Prüfen, ob sf-mcp auf Entwickler-Arbeitsplätzen oder Servern installiert ist und wer es nutzt.
- Wo nicht benötigt, entfernen oder deaktivieren; nicht auf gemeinsam genutzten oder unbeaufsichtigten Hosts betreiben.
- Salesforce-Zugriff auf das Minimum beschränken und bei Verdacht auf Missbrauch Zugangsdaten rotieren.
- Sicherstellen, dass der Transport lokal über stdio erfolgt und nicht über einen SSE- oder HTTP-Wrapper exponiert ist.
- Repository auf einen Fix überwachen und bei Ausbleiben eine Alternative planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record mirror (NVD) vulners.com
- VulnCheck advisory www.vulncheck.com
- GitHub security issue #17 github.com
- Vulnerable code at commit beb103d github.com
- Project repository github.com
- OffSeq threat radar entry radar.offseq.com
- Strix CVE page www.strix.ai
- npm package sf-mcp www.npmjs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:01.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.