CVE-2026-62863

اسم البرنامج المصاب والإصدارات المتأثرة MoLing الإصدارات السابقة لـ 0.5.0

Description عند التشغيل في وضع SSE باستخدام العلامة -l ، لا تقوم نقاط النهاية HTTP /sse و /message بمصادقة الطلبات. بالإضافة إلى ذلك ، تقوم التبعية mcp-go بتعيين Access-Control-Allow-Origin: * ، مما يسمح بطلبات من مصادر خارجية. يمكن لصفحة ويب خبيثة إنشاء اتصال EventSource من مصدر خارجي إلى نقطة النهاية /sse للحصول على sessionId. يمكن بعد ذلك استخدام sessionId هذا لإرسال استدعاءات أدوات MCP غير مصرح بها إلى نقطة النهاية /message. اعتمادًا على الأدوات التي تم تكوينها ، يمكن للمهاجم تنفيذ أوامر أو قراءة أو كتابة ملفات محلية أو القيام بإجراءات أخرى غير مصرح بها. يظل هذا الهجوم الذي يتم عبر المتصفح ممكنًا حتى لو كان الخادم مرتبطًا فقط بعنوان loopback.

Recommendations تحديث MoLing إلى الإصدار 0.5.0.