CVE-2026-7216donchelo processing-claude-mcp-bridge 在 e017b20a4b592a45531a6392f494007f04e661bd 及之前的版本中存在路径遍历漏洞。该漏洞位于 processing_server.py 文件的 create_sketch 工具中，由于对 sketch_name 参数缺乏充分过滤，攻击者无需认证即可远程利用。目前漏洞利用代码已公开，攻击者可通过构造恶意参数访问系统敏感文件，建议尽快修复。
该漏洞源于 donchelo/processing-claude-mcp-bridge 项目在处理用户请求时的输入验证缺失。受影响的组件位于 processing_server.py 文件中的 create_sketch 工具。该工具在接收 sketch_name 参数时，未对该参数进行有效的路径规范化处理或合法性校验，直接将其用于文件系统操作。由于未对路径分隔符（如 ../）进行过滤，攻击者可以通过发送特制的请求包，利用 sketch_name 参数实施路径遍历攻击。该漏洞属于网络远程利用，攻击复杂度低，且无需用户交互或身份认证。尽管官方显示受影响的具体版本号不详（采用滚动发布模式），但包含提交哈希 e017b20a4b592a45531a6392f494007f04e661bd 及之前的版本均受影响。