事件经过
NVD于2026年07月24日发布了CVE-2026-66004（CVSS 6.0，中），描述了BlenderMCP资源下载工具中的路径遍历漏洞，由第三方API响应中的未清理遍历序列触发。
影响分析
这是一个MCP工具信任外部API响应数据而不进行清理的具体例子——一个仅有智能体工具调用架构的攻击表面，其中调用该工具的LLM智能体可通过提示注入或MITM上游响应被引导以将攻击者控制的文件写入主机文件系统。
攻击途径
download_polyhaven_asset方法未能清理API响应'include'键中的遍历序列，允许控制API响应的攻击者（通过MITM）或能向LLM智能体上下文注入恶意内容的攻击者（提示注入）导致预期资源目录外的任意文件写入。
受影响系统
BlenderMCP在提交30a3308之前
缓解措施
升级至修复提交30a3308446cd8f81a9446e5a2ed657c0d8d86072。