何が起きたか
CVE-2026-14699（CVSS 3.3 Low、2026-07-05に公開）はLLMエージェント消費用にウェブコンテンツ/ファイルをMarkdownに変換するために使用されるMCPサーバー内のローカルで利用可能なシンボリックリンクフォロー脆弱性です。
なぜ重要か
低い爆発半径、単一のMCPツールパッケージの局所的な攻撃ベクトル — ティアリングガイダンスごとに正確にカタログ化されたCVEとして保持されます。
攻撃経路
assertPathAllowed関数はシンボリックリンクを考慮していず、ローカル攻撃者がシンボリックリンクをフォローすることで意図したパス制限をエスケープできます。
影響を受けるシステム
zcaceres markdownify-mcp ≤ 1.1.0（src/Markdownify.ts）
緩和策
この問題を修正するプルリクエストはベンダー受け入れ待ちです；マージ待ちの間、信頼されていないローカルファイルパスでmarkdownify-mcpを実行することを避けてください。