CVE-2026-59176 — Functype: RCE через MCP set_functype_version из-за несанитизированной установки pnpm и динамического импорта

Инструмент MCP set_functype_version в functype-mcp-server принимает неограниченную строку версии, напрямую вставляет её в спецификатор npm-пакета и запускает pnpm install. После установки пакета, контролируемого атакующим, он динамически импортируется, что позволяет выполнять произвольный JavaScript с правами процесса MCP-сервера. Источник оценивает воздействие как высокое; CVSS 7.8.