PT-2025-28894
CVE-2025-6514
·
تاريخ النشر
2025-06-17
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mcp-remote من 0.0.5 إلى 0.1.15
الوصف
برنامج mcp-remote، وهو خادم وكيل محلي يتيح لعملاء MCP التفاعل مع الخوادم البعيدة، معرض لخطر حقن أوامر نظام التشغيل. تحدث هذه المشكلة أثناء عملية المصافحة (handshake) الخاصة بـ OAuth عندما يطلب الخادم الوكيل بيانات وصفية من خادم بعيد. يمكن لخادم ضار تقديم عنوان URL استجابة
authorization endpoint مُعدّ خصيصًا يحتوي على أوامر نظام. وبسبب عدم إجراء التنقية بشكل صحيح، يحاول mcp-remote فتح عنوان URL هذا مباشرةً عبر شل النظام، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية على جهاز العميل. في نظام Windows، يتيح ذلك التحكم الكامل في المعلمات، بينما في أنظمة macOS وLinux، يتيح تنفيذ ملفات تعسفية مع تحكم محدود في المعلمات. وقد تم تنزيل الحزمة أكثر من 437,000 مرة.التوصيات
قم بالتحديث إلى الإصدار 0.1.16 أو أحدث.
اتصل فقط بخوادم MCP الموثوقة باستخدام طرق اتصال آمنة مثل HTTPS.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾