MCP Calculate Server: Prompt Injection to RCE

O servidor MCP Calculate usa uma função insegura (eval) para processar expressões matemáticas sem validação, permitindo que atacantes executem qualquer código no servidor injetando comandos maliciosos disfarçados de problemas matemáticos.

A vulnerabilidade decorre do uso não sanitizado de eval() para avaliar expressões matemáticas fornecidas pelo usuário, possibilitando execução de código arbitrário através de injeção de prompt. Um atacante remoto não autenticado pode criar uma entrada maliciosa que quebra o contexto de avaliação matemática para executar comandos do sistema com privilégios do servidor. Essa combinação de CWE-94 (controle inadequado de geração de código) com CWE-1427 resulta em comprometimento total do sistema.