CVE-2026-7058666ghj MiroFish 软件在0.1.2及之前的版本中存在高危命令注入漏洞。该漏洞源于Inter-Process Communication组件中的`SimulationIPCClient.send_command`函数未能正确过滤用户输入。攻击者无需进行身份认证或用户交互，即可通过网络远程发起攻击。成功利用该漏洞可导致在服务器端执行任意系统命令，严重影响系统的机密性、完整性和可用性。目前厂商尚未发布修复补丁。
该漏洞根植于666ghj MiroFish项目的后端核心组件，具体位于`backend/app/services/simulation_ipc.py`文件中的`SimulationIPCClient.send_command`函数。该函数主要用于处理应用程序与模拟环境之间的进程间通信（IPC）指令。由于开发者在编写代码时，直接将外部传入的数据拼接到系统命令字符串中，且未引入任何安全过滤机制（如转义特殊字符或使用白名单校验），导致了经典的命令注入漏洞。攻击者可以利用此缺陷，在无需认证的情况下，通过网络向受影响的服务端发送精心构造的恶意数据包。当服务器端的`send_command`方法处理该数据并调用底层Shell（如通过`os.system`或`subprocess.call`）执行时，攻击者注入的Shell元字符（如分号、管道符）将被解析为命令分隔符，从而导致任意系统命令的执行。这赋予了攻击者与Web服务进程相同的权限，可进一步控制服务器。