PT-2026-133262
CVE-2026-62264
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
PDF Reader MCP الإصدارات من 2.2.0 إلى 3.0.0
الوصف
عند تفعيل خادم HTTP الاختياري عبر
MCP TRANSPORT=http يقوم الخادم بتسجيل أن مصادقة X-API-Key مفعلة بعد قراءة المتغير MCP API KEY ولكنه يفشل في التحقق من رأس X-API-Key في الطلبات الواردة. يسمح هذا للعملاء غير المصرح لهم بالوصول إلى نقطة النهاية /mcp. ونظراً لأن عنوان الربط الافتراضي هو 0.0.0.0 يمكن لأي عميل يصل إلى المنفذ استدعاء جميع أدوات PDF وقراءة أي ملف PDF يمكن لعملية الخادم فتحه على المضيف. بالإضافة إلى ذلك تسمح المصادر القائمة على URL بتزوير طلبات الخادم (SSRF) بشكل محدود وهي ثغرة تسمح للمهاجم بدفع الخادم لإرسال طلبات إلى وجهة غير مقصودة على الرغم من أن الوجهات الخاصة ووجهات loopback محظورة افتراضياً ما لم يتم تفعيل --allow-private-ips. لا يتأثر نقل stdio الافتراضي.التوصيات
تحديث PDF Reader MCP إلى الإصدار 3.0.1.
كإجراء مؤقت قم بربط الخادم بعنوان loopback عن طريق تعيين
MCP HTTP HOST=127.0.0.1.
كإجراء مؤقت ضع وكيل عكسي (reverse proxy) أمام الخادم لفرض المصادقة.
كإجراء مؤقت استخدم نقل stdio الافتراضي بدلاً من HTTP.
كإجراء مؤقت قم بتقييد الوصول إلى نظام الملفات باستخدام --allow-dir أو MCP PDF ALLOWED DIRS. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾