CVE-2026-42559

إصدارات rmcp الأقدم من 1.4.0

إصدارات dynoxide الأقدم من 0.9.13

يفشل نقل خادم HTTP القابل للبث في صندوق rmcp في التحقق من صحة رأس Host الوارد. وهذا يسمح لموقع ويب عام ضار باستخدام هجوم إعادة ربط DNS — وهي تقنية يتم فيها إعادة توجيه اسم النطاق إلى عنوان IP مختلف بعد التحليل الأولي لـ DNS — لإرسال طلبات مصادق عليها إلى خادم MCP على واجهة loopback أو واجهة الشبكة الخاصة للضحية. يمكن للمهاجم حصر الأدوات وتشغيلها، وقراءة الموارد، وإحداث آثار جانبية مثل كتابة الملفات أو تنفيذ أوامر shell. في dynoxide، تؤدي هذه المشكلة أيضًا إلى ثغرة CSRF (تزوير الطلبات عبر المواقع) عبر الأصول، حيث يمكن لصفحة ما إرسال طلبات إلى خادم محلي باستخدام fetch مع mode: ’no-cors‘، متجاوزةً فحص Host لأن رأس Origin يظل غير مفحوص. تشمل أدوات الكتابة المتأثرة في dynoxide كل من put item() وupdate item() وdelete item() وcreate table() وbatch write item().

تحديث rmcp إلى الإصدار 1.4.0 أو أحدث.

قم بتحديث dynoxide إلى الإصدار 0.9.13 أو أحدث.

كحل مؤقت لـ rmcp، ضع خادم MCP خلف وكيل عكسي مُهيأ لرفض الطلبات ذات رؤوس Host غير المتوقعة وتجنب ربط الخادم بـ 0.0.0.0 بدون وجود مثل هذا الوكيل.