事件经过
CVE-2026-14699（CVSS 3.3低，发布于2026-07-05）是一个MCP服务器中本地可利用的符号链接跟踪漏洞，该服务器用于将网络内容/文件转换为Markdown供LLM Agent使用。
影响分析
爆炸范围有限，单个MCP工具包上的本地攻击向量——根据分级指导保留为精确的编目CVE。
攻击途径
assertPathAllowed函数未考虑符号链接，允许本地攻击者通过跟踪符号链接绕过预期的路径限制。
受影响系统
zcaceres markdownify-mcp ≤ 1.1.0（src/Markdownify.ts）
缓解措施
修复此问题的拉取请求正在等待供应商接受；在合并之前避免使用不受信任的本地文件路径运行markdownify-mcp。