Vulnerabilidad en serverless (CVE-2025-69256)

El Serverless Framework es un framework para usar AWS Lambda y otros servicios en la nube gestionados para construir aplicaciones. A partir de la versión 4.29.0 y antes de la versión 4.29.3, existe una vulnerabilidad de inyección de comandos en el paquete de servidor MCP integrado del Serverless Framework (@serverless/mcp). Esta vulnerabilidad solo afecta a los usuarios de la característica experimental del servidor MCP (serverless mcp), lo que representa menos del 0.1% de los usuarios del Serverless Framework. La CLI y la funcionalidad de despliegue principales del Serverless Framework no se ven afectadas. La vulnerabilidad es causada por el uso no saneado de parámetros de entrada dentro de una llamada a `child_process.exec`, lo que permite a un atacante inyectar comandos de sistema arbitrarios. La explotación exitosa puede llevar a la ejecución remota de código bajo los privilegios del proceso del servidor. El servidor construye y ejecuta comandos de shell utilizando entrada de usuario no validada directamente dentro de cadenas de línea de comandos. Esto introduce la posibilidad de inyección de metacaracteres de shell ('|', '>', '&&', etc.). La versión 4.29.3 corrige el problema.