PT-2026-32564
CVE-2026-39417
·
تاريخ النشر
2026-04-14
·
تاريخ التحديث
2026-04-14
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MaxKB الأقدم من 2.8.0
الوصف
توجد ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد في عقدة MCP الخاصة بمحرك سير العمل. يفشل النظام في التحقق بشكل صحيح من صحة ملف JSON المقدم من المستخدم عند تحميل
mcp servers، حيث إن الإصلاح الخاص بمشكلة سابقة قد اقتصر فقط على مسار التعليمات البرمجية المرجعية. ونظرًا لأن المتغير mcp source اختياري، يمكن للمهاجم تجاوز القيود الحالية عن طريق حذفه أو تقديم قيمة لا تشير إلى مسار الكود. ومن خلال إرسال حمولة JSON مصممة خصيصًا إلى واجهة برمجة تطبيقات (API) إنشاء سير العمل، يمكن للمهاجم إدخال تكوين عقدة MCP باستخدام نقل stdio مع أوامر ومعلمات عشوائية، مما يؤدي إلى تنفيذ التعليمات البرمجية عند تشغيل سير العمل عبر الدردشة.التوصيات
التحديث إلى الإصدار 2.8.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾