PT-2025-30052
CVE-2025-54073
·
تاريخ النشر
2025-06-30
·
تاريخ التحديث
2025-08-05
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
mcp-package-docs الإصدارات الأقدم من 0.1.28
node-code-sandbox-mcp الإصدارات الأقدم من 0.1.28
mcp-server-kubernetes الإصدارات الأقدم من 0.1.28
git-mcp-server الإصدارات الأقدم من 0.1.28
الوصف
توجد ثغرة أمنية تتعلق بحقن الأوامر في العديد من خوادم MCP (بروتوكول سياق النموذج). تنجم هذه الثغرة عن الاستخدام غير المُعقم لمعلمات الإدخال داخل استدعاءات
child process.exec أو child process.execSync، مما يسمح للمهاجم بحقن أوامر تعسفية في النظام. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم، مما قد يؤدي إلى تجاوز آليات الحماية (sandboxing) في بعض الحالات. تقوم الخوادم بإنشاء أوامر شل وتنفيذها باستخدام مدخلات المستخدم غير المصادق عليها مباشرةً داخل سلاسل أوامر سطر الأوامر، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة (|، >، &&، إلخ). يمكن أن يحدث الاستغلال من خلال التنفيذ المباشر للأمر أو الحقن غير المباشر لموجه الأوامر عبر محتوى ملف أو رسائل السجل.التوصيات
إصدارات mcp-package-docs الأقدم من 0.1.28: قم بالتحديث إلى الإصدار 0.1.28 أو أحدث.
إصدارات node-code-sandbox-mcp الأقدم من 0.1.28: قم بالتحديث إلى الإصدار 0.1.28 أو أحدث.
mcp-server-kubernetes الإصدارات الأقدم من 0.1.28: قم بالتحديث إلى الإصدار 0.1.28 أو أحدث.
git-mcp-server الإصدارات الأقدم من 0.1.28: قم بالتحديث إلى الإصدار
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾