PT-2026-141123

CVE-2026-123810

تاريخ النشر

2026-07-31

تاريخ التحديث

2026-11-09

الوصف من

CVSS 3.1

4.3

متوسطة

المقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

اسم البرنامج المصاب والإصدارات المتأثرة Dynatrace MCP Server الإصدارات السابقة لـ 2.1.1

Description توجد ثغرة حقن DQL في عدة قدرات قراءة حيث يتم دمج قيم يتحكم فيها المستدعي في سلاسل لغة استعلام Dynatrace (DQL) دون التحقق الكافي أو الهروب. يسمح هذا للمستدعي بالخروج من النصوص الحرفية، أو إضافة مراحل خط أنابيب DQL تعسفية، أو استخدام تعليقات السطر للتخلص من بقية الاستعلام المقصود. نتيجة لذلك، يمكن للمستدعين تجاوز تحديد الحقول، وحدود النافذة الزمنية، وقيود عرض النتائج في الأدوات المميزة بـ readOnlyHint. وعلى الرغم من أن هذا لا يمنح وصولاً إلى البيانات يتجاوز قدرة execute dql الموجودة للرمز المميز المكون، إلا أنه يكسر عقد الأداة المقيد الذي قد يستخدمه عملاء MCP للموافقة التلقائية.

المكونات والمعلمات المتأثرة هي:

src/capabilities/find-monitored-entity-by-name.ts باستخدام المعلمة entityNames.
src/capabilities/list-problems.ts و src/capabilities/list-vulnerabilities.ts و src/capabilities/list-exceptions.ts باستخدام المعلمة timeframe.
src/capabilities/get-events-for-cluster.ts باستخدام المعلمات timeframe و clusterId و kubernetesEntityId.