JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2025-026242 mcp-server-gitの2025年12月17日以前のバージョンでは、git_diffおよびgit_checkout関数がユーザー制御の引数をサニタイズせずに直接git CLIコマンドに渡していました。フラグのような値（例: git_diffの`--output=/path/to/file`）はgitのリファレンスではなくコマンドラインオプションとして解釈され、任意のファイルの上書きが可能でした。修正では、ハイフンで始まる引数を拒否し、実行前にrev_parseを使用して引数が有効なgitリファレンスであることを検証するバリデーションを追加しています。ユーザーはこの問題を解決するために2025年12月17日へのアップデートを推奨します。 cpe:/a:lfprojects:model_context_protocol_servers https://jvndb.jvn.jp/ja/contents/2025/JVNDB-2025-026242.html Common Vulnerabilities and Exposures (CVE) CVE-2025-68144 https://www.cve.org/CVERecord?id=CVE-2025-68144 National Vulnerability Database (NVD) CVE-2025-68144 https://nvd.nist.gov/vuln/detail/CVE-2025-68144 GitHub Argument injection in git_diff and git_checkout functions for mcp-server-git allows overwriting local files Advisory modelcontextprotocol/servers GitHub https://github.com/modelcontextprotocol/servers/security/advisories/GHSA-9xwc-hfwc-8w59 JVNDB CWE-88 https://cwe.mitre.org/data/definitions/88.html 2026-04-16T10:43:58+09:00 2026-04-16T10:43:58+09:00