An7Y

تسمح إجراءات التخفيف غير الكاملة بالتحايل عندما يحتوي عنوان URL على السلسلة ”%action“. بالنسبة لأنواع معينة من المتصفحات، قد يؤدي ذلك إلى حقن الأوامر في شل (shell) الأساسي عبر الدالة `webbrowser.open()`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة**: إصدارات FastMCP الأقدم من 3.2.0 **الوصف**: FastMCP معرض لمشكلة ”Confused Deputy“ ضمن تكامل GitHubProvider OAuth الخاص به. يفشل مكون OAuthProxy في التحقق بشكل صحيح من موافقة المستخدم عند تلقي رموز التفويض من GitHub. وهذا، إلى جانب ممارسة GitHub المتمثلة في تخطي صفحات الموافقة للعملاء الذين تم تفويضهم مسبقًا، يتيح للمهاجم إمكانية الوصول غير المصرح به إلى حساب الضحية. يبدأ المهاجم عملية المصادقة، ويلتقط رابط URL لتفويض GitHub، ثم يغري الضحية التي دخلت بالفعل إلى GitHub وقامت مسبقًا بتفويض عميل ما لفتح هذا الرابط. بعد ذلك، يتم إعادة توجيه متصفح الضحية إلى عميل المهاجم برمز تفويض صالح، مما يمكّن المهاجم من الحصول على رمز وصول لخادم MCP غير ضار مرتبط بحساب الضحية على GitHub. المكون المعرض للخطر هو الدالة `OAuthProxy. handle idp callback`. تنشأ المشكلة من عدم قيام معالج الاستدعاء المرتد لـ OAuthProxy بالتحقق من أن المتصفح الذي يصدر طلب الاستدعاء المرتد هو نفسه الذي قدم الموافقة. **التوصيات**: قم بالتحديث إلى إصدار FastMCP 3.2.0 أو أحدث.

كانت واجهة برمجة التطبيقات `webbrowser.open()` تقبل وجود شرطات في بداية عناوين URL، وهو ما كان من الممكن أن تفسره بعض متصفحات الويب على أنه خيارات لسطر الأوامر. وقد تم تعديل هذا السلوك لرفض الشرطات في بداية عناوين URL. تتضمن هذه المشكلة إمكانية تنفيذ أوامر من خلال عناوين URL مصممة خصيصًا يتم تمريرها إلى دالة `webbrowser.open()`. المكون المعرض للخطر هو نقطة نهاية واجهة برمجة التطبيقات (API) `webbrowser.open()`. المعلمة المعرضة للخطر هي عنوان URL الذي يتم تمريره إلى دالة `webbrowser.open()`.