JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-029077 RepomixはリポジトリをAI対応ファイルにパックするツールです。バージョン1.14.1より前のRepomix MCPサーバーにおけるattach_packed_outputおよびread_repomix_outputのフローでは、file_system_read_fileのrunSecretLint()による安全チェックやRepomixのpacked-output検証を経ることなく、任意のローカルの.json、.txt、.md、または.xmlファイルを登録および読み取ることが可能でした。これにより、MCP呼び出し元がローカルファイル読み取りのシークレットスキャンの境界を回避できてしまう問題が発生していました。この問題はバージョン1.14.1で修正されました。 cpe:/a:yamadashy:repomix https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-029077.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49988 https://www.cve.org/CVERecord?id=CVE-2026-49988 National Vulnerability Database (NVD) CVE-2026-49988 https://nvd.nist.gov/vuln/detail/CVE-2026-49988 GitHub attach_packed_output can bypass file-read secret scanning for supported local files Advisory yamadashy/repomix GitHub https://github.com/yamadashy/repomix/security/advisories/GHSA-hwpp-h97w-2h3j JVNDB CWE-200 https://jvndb.jvn.jp/ja/cwe/CWE-200.html 関連文書 fix(mcp): secret-scan attach-sourced outputs before serving them yamadashy/repomix@e447f7d GitHub https://github.com/yamadashy/repomix/commit/e447f7dba6f51fdb26bcad0c280542fca291960e 関連文書 Release v1.14.1 yamadashy/repomix GitHub https://github.com/yamadashy/repomix/releases/tag/v1.14.1 2026-08-20T10:17:03+09:00 2026-08-20T10:17:03+09:00