原文

mcp-server-gitの2025年12月17日以前のバージョンでは、git_diffおよびgit_checkout関数がユーザー制御の引数をサニタイズせずに直接git CLIコマンドに渡していました。フラグのような値（例: git_diffの`--output=/path/to/file`）はgitのリファレンスではなくコマンドラインオプションとして解釈され、任意のファイルの上書きが可能でした。修正では、ハイフンで始まる引数を拒否し、実行前にrev_parseを使用して引数が有効なgitリファレンスであることを検証するバリデーションを追加しています。ユーザーはこの問題を解決するために2025年12月17日へのアップデートを推奨します。