PT-2026-39209
CVE-2026-44284
·
تاريخ النشر
2026-05-08
·
تاريخ التحديث
2026-06-08
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FastGPT الأقدم من 4.14.17
الوصف
توجد ثغرة غير متسقة في الحماية من تزوير الطلبات من جانب الخادم (SSRF) في معالجة عناوين URL لأدوات بروتوكول سياق النموذج (MCP). في حين أن نقاط النهاية الخاصة بالمعاينة المباشرة والتشغيل ترفض عناوين URL الخاصة بالشبكة الداخلية أو الخاصة، فإن نقاط النهاية المستخدمة لإنشاء أدوات MCP أو تحديثها تسمح بتخزين عناوين URL الداخلية لخادم MCP. ويمكن بعد ذلك استخدام عناوين URL المخزنة هذه من قبل عملية تنفيذ سير العمل دون إجراء مزيد من التحقق من صحة الوجهة. يمكن للمستخدم المصادق عليه الذي يمتلك أذونات لإدارة مجموعات أدوات MCP تخزين نقطة نهاية داخلية، مثل
http://localhost:3000/mcp، مما يتسبب في اتصال مشغل سير العمل الخلفي بتلك الوجهة الداخلية.التوصيات
قم بالتحديث إلى الإصدار 4.14.17.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾