PT-2026-26466
CVE-2026-33252
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Go MCP SDK الأقدم من 1.4.1
الوصف
كان بروتوكول النقل Streamable HTTP في Go MCP SDK عرضة لقبول طلبات
POST عبر المواقع التي يُنشئها المتصفح دون التحقق من صحة رأس Origin أو اشتراط وجود Content-Type: application/json. في عمليات النشر التي تفتقر إلى ميزة «التفويض» (Authorization)، لا سيما في الإعدادات التي لا تعتمد على الحالة أو الجلسات، سمح ذلك لموقع ويب عشوائي بإرسال طلبات MCP إلى خادم محلي، مما قد يؤدي إلى تشغيل الأداة. يمكن لموقع ويب ضار إرسال طلبات POST عبر المواقع باستخدام Content-Type: text/plain، متجاوزًا حواجز الفحص المسبق لـ CORS بسبب خصائص قائمة الأمان لـ CORS. المكون المعرض للخطر هو بروتوكول نقل Streamable HTTP. تقبل نقطة نهاية واجهة برمجة التطبيقات (API) طلبات POST. المعلمة المعرضة للخطر هي رأس Origin.التوصيات
قم بالتحديث إلى الإصدار 1.4.1 أو أحدث. يتطلب الإصدار 1.4.1 استخدام Go 1.25 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾