PT-2025-48747
CVE-2025-66416
·
تاريخ النشر
2025-12-02
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mcp الأقدم من 1.23.0
الوصف
لا يقوم SDK Python
mcp بتمكين الحماية ضد إعادة ربط DNS (DNS rebinding) بشكل افتراضي للخوادم القائمة على HTTP. إذا كان خادم MCP قائم على HTTP قيد التشغيل على localhost بدون مصادقة، باستخدام FastMCP مع نقل HTTP القابل للتدفق (streamable) أو SSE، وبدون تكوين TransportSecuritySettings، فقد يستغل موقع ويب ضار إعادة ربط DNS للتحايل على قيود سياسة «نفس المنشأ» (same-origin policy). قد يتيح ذلك للمهاجم إرسال طلبات إلى خادم MCP المحلي، وربما تشغيل أدوات أو الوصول إلى الموارد التي يعرضها الخادم نيابة عن المستخدم. لا تؤثر هذه المشكلة على الخوادم التي تستخدم نقل stdio.التوصيات
قم بالتحديث إلى الإصدار 1.23.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾