PT-2026-138437
CVE-2026-102610
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
fast-agent الإصدارات السابقة لـ 0.7.21
Description
يستخدم الأمر
serve نقل HTTP المرتبط بـ 0.0.0.0 على المنفذ 8000 بدون مصادقة. يسمح هذا لأي عميل شبكة يمكنه الوصول إلى نقطة النهاية /mcp باستدعاء أداة الوكيل المعرضة. إذا تم تشغيل الخادم باستخدام علامة --shell ، يمكن للوكيل استخدام أداة التنفيذ المحلية التي تم تنفيذها بواسطة tools/local shell executor.py ، مما يسمح لعميل عن بعد غير مصرح له بتنفيذ أوامر نظام التشغيل بصلاحيات مستخدم الخادم. في حالة عدم وجود علامة --shell ، لا يزال بإمكان العملاء استخدام نموذج المشغل وأدوات Model Context Protocol (MCP) المكونة. تم تحديد الإعدادات الافتراضية في cli/commands/serve.py و mcp/server/agent server.py ، ولا يمنع موجه إذن الخادم غير التفاعلي هذا الوصول.Recommendations
التحديث إلى الإصدار 0.7.21.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾