Figma MCP严重漏洞允许黑客远程执行代码，请立即修复
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
网络安全研究人员披露了Figma开发者MCP服务器的CVE-2025-53967漏洞，该漏洞允许攻击者远程执行代码，源于未过滤的用户输入，可能导致命令注入。该漏洞已于2025年9月修复，建议使用child_process.execFile替代exec以增强安全性。
🎯
关键要点
- 网络安全研究人员披露了Figma开发者MCP服务器的CVE-2025-53967漏洞，允许远程代码执行。
- 该漏洞源于未过滤的用户输入，属于命令注入类型，CVSS评分为7.5。
- 攻击者可通过构造shell命令实现远程代码执行，可能导致数据泄露风险。
- 漏洞发现于2025年7月，由Imperva报告，描述为设计疏忽。
- 攻击流程包括MCP客户端向MCP端点发送请求并调用工具。
- 漏洞核心在于通过child_process.exec执行curl命令，导致命令注入。
- 攻击者可通过特制请求或诱骗受害者访问特定网站触发漏洞。
- 该漏洞已于2025年9月修复，建议使用child_process.execFile替代exec以增强安全性。
- Imperva警告，AI驱动工具的安全考量必须跟上技术创新步伐。
- FireTail披露谷歌Gemini AI聊天机器人存在新型ASCII走私攻击漏洞，可能被武器化。
❓
延伸问答
Figma MCP服务器的CVE-2025-53967漏洞是什么？
CVE-2025-53967漏洞允许攻击者通过未过滤的用户输入实现远程代码执行，属于命令注入类型，CVSS评分为7.5。
这个漏洞是如何被发现的？
该漏洞由网络安全公司Imperva于2025年7月发现，并被描述为设计疏忽。
攻击者如何利用这个漏洞？
攻击者可以通过构造特定的shell命令或诱骗受害者访问特定网站来触发漏洞，实现远程代码执行。
Figma MCP漏洞的修复措施是什么？
该漏洞已在2025年9月修复，建议使用child_process.execFile替代exec以增强安全性。
这个漏洞对开发者有什么潜在风险？
漏洞可能导致攻击者实现完全远程代码执行，从而引发数据泄露风险。
为什么AI驱动工具的安全性需要关注？
随着AI驱动开发工具的普及，安全考量必须跟上技术创新步伐，以防止潜在的攻击风险。
➡️
