PT-2026-145533
CVE-2026-67546
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Heym الإصدارات السابقة لـ 0.0.75
الوصف
توجد مشكلة حيث يقبل نقطة النهاية 'POST /api/mcp/fetch-tools' نقل stdio، مما يسمح لأي مستخدم مصرح له بأدنى صلاحيات بتشغيل أمر بمعاملات عشوائية وبيئة مدمجة مع
os.environ. يتم تنفيذ العملية على مضيف الخلفية المشترك قبل فشل التحقق من بروتوكول MCP (Model Context Protocol)، مما يؤدي إلى تنفيذ الآثار الجانبية بغض النظر عما إذا كان الأمر يتحدث بروتوكول MCP.التوصيات
التحديث إلى الإصدار 0.0.75.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾