무슨 일이 있었나
knowns MCP 기반 에이전트 프레임워크의 두 관련 액세스 제어 실패: 호스트 전체 파일 공개를 가능하게 하는 code.find 도구의 비제한 파일 경로 인수(CVSS 6.5) 및 공격자가 읽기 전용 세션을 서버를 공격자가 선택한 디렉토리에 재지정하여 쓰기 액세스로 상향할 수 있도록 하는 완전히 보호되지 않은 project.set 작업(CVSS 8.3).
왜 중요한가
두 결함 모두 AI 코딩 에이전트 세션의 의도된 읽기 전용 샌드박싱을 무너뜨립니다 — 엔터프라이즈가 에이전트가 코드에서 안전하게 운영하도록 하기 위해 의존하는 격리 경계입니다 — 명목상 제한된 에이전트를 임의 호스트 파일 읽기 및 쓰기 기능을 가진 에이전트로 변환합니다.
공격 경로
CVE-2026-88938: code.find MCP 도구의 경로 인수는 프로젝트 루트로 제한되지 않으므로, 절대 경로 또는 순회 시퀀스는 AI 에이전트 세션이 호스트의 임의의 파일을 읽도록 합니다. CVE-2026-88939: project.set 작업은 권한 보호 검사에서 완전히 예외되므로, 읽기 전용 에이전트 세션이 서버를 다른 프로젝트 디렉토리에 재지정할 수 있고 따라서 쓰기 액세스를 얻을 수 있습니다.
영향받는 시스템
knowns, 버전 0.33.0까지
완화 방안
패치된 릴리스를 사용할 수 있게 되면 knowns v0.33.0을 지나 업그레이드하십시오. 그때까지는 에이전트 세션이 지정할 수 있는 디렉토리를 제한하고 순회 시퀀스에 대한 MCP 도구 경로 인수를 감시하십시오.