آسیب‌پذیری شدید Figma MCP امکان اجرای کد از راه دور توسط هکرها را فراهم می‌کند — هم‌اکنون وصله کنید

محققان امنیت سایبری جزئیات آسیب‌پذیری رفع‌شده‌ای را در سرور پروتکل زمینه مدل (MCP) محبوب figma-developer-mcp افشا کرده‌اند که می‌تواند به مهاجمان امکان اجرای کد را بدهد. این آسیب‌پذیری با شناسه CVE-2025-53967 و امتیاز CVSS برابر 7.5 ردیابی می‌شود و یک باگ تزریق دستور (command injection) است که از استفاده غیرایمن از ورودی کاربر ناشی می‌شود و امکان ارسال دستورات سیستمی دلخواه را فراهم می‌کند. شرکت امنیت سایبری Imperva که این مشکل را در ژوئیه 2025 کشف و گزارش کرد، CVE-2025-53967 را “نقص طراحی” در مکانیزم بازگشتی توصیف کرده که می‌تواند به عوامل مخرب امکان اجرای کامل کد از راه دور را بدهد و توسعه‌دهندگان را در معرض خطر افشای داده قرار دهد.

این نقص در فایل “src/utils/fetch-with-retry.ts” قرار دارد که ابتدا سعی می‌کند محتوا را با استفاده از API استاندارد fetch دریافت کند و در صورت شکست، دستور curl را از طریق child_process.exec اجرا می‌کند که باعث ایجاد نقص تزریق دستور می‌شود. مهاجمان می‌توانند با ارسال درخواست‌های خاص به MCP آسیب‌پذیر یا فریب قربانی برای بازدید از سایت مخصوص طراحی‌شده، این نقص را مورد سوءاستفاده قرار دهند. آسیب‌پذیری در نسخه 0.6.3 از figma-developer-mcp که در 29 سپتامبر 2025 منتشر شد، برطرف شده است. همزمان، شرکت FireTail افشا کرد که گوگل تصمیم گرفته حمله قاچاق ASCII جدیدی را در چت‌بات هوش مصنوعی Gemini خود که می‌تواند برای عبور از فیلترهای امنیتی و ایجاد پاسخ‌های نامطلوب استفاده شود، رفع نکند.