PT-2026-37283
CVE-2026-42856
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-06-22
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Network-AI الأقدم من 5.1.3
الوصف
يقبل نقل MCP HTTP طلبات JSON-RPC
tools/call دون الحاجة إلى المصادقة أو الجلسات أو مصادر الطلبات أو فحوصات الرموز المميزة، ويقوم بإرسالها مباشرةً إلى سجل أدوات أداة التنسيق. ونظرًا لأن الخدمة ترتبط بـ 0.0.0.0 افتراضيًا، يمكن لأي طرف لديه إمكانية الوصول إلى الشبكة حصر أدوات الإدارة ذات الامتيازات واستدعاءها. وهذا يسمح للمستخدمين غير المصرح لهم بقراءة وتعديل تكوينات أوركستراتور الحالية، وإدراج الوكلاء وتوزيعهم، وإنشاء الرموز الأمنية أو إلغاؤها، وتعديل الحدود القصوى للميزانية العامة. توجد هذه المشكلة على وجه التحديد في الدالة handlePost()، التي تفشل في إجراء فحوصات المصادقة قبل استدعاء الدالة handleRPC()، وفي الدالة handleRPC()، التي تقوم بتوجيه الطلبات إلى الدالة call(toolName, toolArgs).التوصيات
التحديث إلى الإصدار 5.1.3.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
/mcp على الشبكات الموثوقة أو قم بتغيير عنوان الربط من 0.0.0.0 إلى 127.0.0.1 لمنع التعرض للشبكة الخارجية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾