Novice-22

يسمح استخدام مورد غير مهيأ في ASP.NET Core لمهاجم غير مصرح له بالكشف عن معلومات عبر الشبكة. وبشكل محدد، يمكن أن يحتفظ `ResponseBufferingStream` المعاد استخدامه بذاكرة ذيل مجمعة، مما قد يؤدي إلى كشف بيانات جسم الاستجابة من طلب آخر من خلال تسجيلات HTTP.

يستخدم الأمر `serve` نقل HTTP المرتبط بـ 0.0.0.0 على المنفذ 8000 بدون مصادقة. يسمح هذا لأي عميل شبكة يمكنه الوصول إلى نقطة النهاية `/mcp` باستدعاء أداة الوكيل المعرضة. إذا تم تشغيل الخادم باستخدام علامة `--shell` ، يمكن للوكيل استخدام أداة التنفيذ المحلية التي تم تنفيذها بواسطة `tools/local shell executor.py` ، مما يسمح لعميل عن بعد غير مصرح له بتنفيذ أوامر نظام التشغيل بصلاحيات مستخدم الخادم. في حالة عدم وجود علامة `--shell` ، لا يزال بإمكان العملاء استخدام نموذج المشغل وأدوات Model Context Protocol (MCP) المكونة. تم تحديد الإعدادات الافتراضية في `cli/commands/serve.py` و `mcp/server/agent server.py` ، ولا يمنع موجه إذن الخادم غير التفاعلي هذا الوصول.

عند تفعيل خادم HTTP الاختياري عبر `MCP TRANSPORT=http` يقوم الخادم بتسجيل أن مصادقة `X-API-Key` مفعلة بعد قراءة المتغير `MCP API KEY` ولكنه يفشل في التحقق من رأس `X-API-Key` في الطلبات الواردة. يسمح هذا للعملاء غير المصرح لهم بالوصول إلى نقطة النهاية `/mcp`. ونظراً لأن عنوان الربط الافتراضي هو `0.0.0.0` يمكن لأي عميل يصل إلى المنفذ استدعاء جميع أدوات PDF وقراءة أي ملف PDF يمكن لعملية الخادم فتحه على المضيف. بالإضافة إلى ذلك تسمح المصادر القائمة على URL بتزوير طلبات الخادم (SSRF) بشكل محدود وهي ثغرة تسمح للمهاجم بدفع الخادم لإرسال طلبات إلى وجهة غير مقصودة على الرغم من أن الوجهات الخاصة ووجهات loopback محظورة افتراضياً ما لم يتم تفعيل `--allow-private-ips`. لا يتأثر نقل `stdio` الافتراضي.

An authenticated non-admin user can register a server pointing to an arbitrary URL, causing the hub to issue server-side requests without egress filtering. This lack of filtering allows requests to loopback, RFC1918, and link-local 169.254.0.0/16 addresses. When using the OpenAPI proxy path, the response body is returned to the caller, resulting in a reflected Server-Side Request Forgery (SSRF), a condition where an attacker induces the server to make requests to an unintended location. When using the SSE/streamable-http transport, the request is sent blind.

يحتوي البرنامج على ثغرة في كتابة الملفات التعسفية، حيث تقوم الدالة `browser download` بكتابة نص الاستجابة الذي تم استرداده إلى مسار تم إنشاؤه بواسطة `join(save dir, filename)` دون التحقق من صحة المتغير `save dir`. بالإضافة إلى ذلك، تقبل الدالتان `browser save state` و`browser load state` مسارًا `path` يتحكم فيه المستدعي دون التحقق من صحته. يمكن لعميل MCP ضار أو وكيل مستقل متأثر بحقن موجه غير مباشر تحديد متغير `save dir` أو مسار الحالة `path` تعسفي وعنوان URL لكتابة محتوى يتحكم فيه المهاجم إلى أي موقع يمكن للعملية الوصول إليه، مثل `~/.bashrc`، أو إدخالات التشغيل التلقائي، أو ملفات cron، مما قد يؤدي إلى تنفيذ كود المضيف. علاوة على ذلك، يستخدم البديل `force fetch` دالة `fetch()` غير معالجة تتجاوز حاجز المنشأ `BROWSE MCP ALLOWED ORIGINS`.