PT-2026-141130
CVE-2026-123811
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Dynatrace MCP Server الإصدارات السابقة لـ 2.0.0
الوصف
عند تشغيل الخادم باستخدام خيار
--http ، فإنه يفشل في تنفيذ المصادقة أو التحقق من الجلسة أو حماية المضيف (Host) والأصل (Origin). يسمح هذا لمهاجم يمكنه الوصول إلى الشبكة بإرسال طلبات tools/call بتنسيق JSON-RPC خام يتم تنفيذها باستخدام بيانات اعتماد Dynatrace المكونة في الخادم. يمكن للمهاجم استخدام الدالة execute dql() لقراءة بيانات Grail الحساسة، بما في ذلك السجلات وأحداث الأمان وجلسات المستخدم، أو استخدام الدالة create dynatrace notebook() لإنشاء دفاتر ملاحظات داخل المستأجر. مسار send event غير متأثر بسبب وجود بوابة موافقة بشرية.التوصيات
التحديث إلى الإصدار 2.0.0.
كإجراء تخفيف مؤقت، تجنب تشغيل الخادم باستخدام علم
--http أو قم بتقييد الوصول إلى الشبكة لمنفذ الخادم للمصادر الموثوقة فقط.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾