PT-2026-120716
CVE-2026-114123
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
D365 F&O MCP Server الإصدارات السابقة لـ 1.11.0
الوصف
تقوم عملية النشر بنقرة واحدة في Azure بتعيين المعلمة
apiKey كسلسلة نصية فارغة افتراضيًا، والتي يتم تمريرها بعد ذلك إلى إعداد API KEY الخاص بـ App Service. عندما يكون هذا المفتاح فارغًا أو غير محدد، يسمح برنامج apiKeyAuth.ts الوسيط بمرور الطلبات بدون مصادقة، بينما يرتبط مستمع HTTP في index.ts بالعنوان 0.0.0.0 افتراضيًا. يسمح هذا التكوين بطلبات JSON-RPC غير مصادق عليها إلى نقطة النهاية /mcp. حتى عندما يتم ضبط MCP SERVER MODE على read-only (للقراءة فقط)، يمكن للمستخدمين المجهولين الوصول إلى أدوات مثل search و get object info و batch get info و extension info و security info و find references و find event handlers. يؤدي ذلك إلى كشف مقتطفات من كود X++ المصدر المملوك وبيانات وصفية، بما في ذلك منطق الأعمال، وهياكل الأدوار والصلاحيات الأمنية، والتسميات من PackagesLocalDirectory.التوصيات
التحديث إلى الإصدار 1.11.0.
تكوين مفتاح API غير فارغ أثناء عملية النشر.
تنفيذ قيود على الشبكة أو مصادقة علوية (upstream authentication) لمنع الوصول غير المصرح به إلى نقطة النهاية
/mcp. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾