何が起きたか
github-kanban-mcp-serverのhandleListIssuesにおけるOSコマンドインジェクション（state/labels引数がシェル呼び出しに到達）により、リモートコード実行が可能です。CVSS 6.3、2026-10-26公開。
なぜ重要か
LLMエージェントに公開されたMCPサーバーは、エージェント（およびプロンプト注入された命令）にホスト上でのコマンド実行プリミティブを提供します。これはエージェントツールからRCEへの直接のパスです。
攻撃経路
handleListIssuesのstate/labels引数は、安全なクォートなしでOSシェルコマンドに組み立てられるため、リモートの呼び出し元（またはツールを呼び出すLLMエージェント）がシェルコマンドを注入してMCPサーバーが実行されているホスト上でコードを実行できます。
影響を受けるシステム
Sunwood-ai-labs github-kanban-mcp-server 0.4.0まで（src/handlers/issue-handlers.ts、handleListIssues）。
緩和策
パッチ適用版にアップグレードしてください。信頼できないstate/labels値を渡さず、シェル引数をクォート/検証してください。