PT-2026-48687
CVE-2026-48039
·
تاريخ النشر
2026-06-11
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Meta Ads MCP الأقدم من 1.0.109
الوصف
Meta Ads MCP هو خادم بروتوكول سياق النموذج (MCP) الذي يمكّن المساعدين الذكائيين من إدارة إعلانات Meta. تفشل الدالة
AuthInjectionMiddleware.dispatch() الموجودة في ملف http auth integration.py في إصدار استجابة 401، وتقوم بإعادة توجيه طلبات HTTP القابلة للبث غير المصادق عليها دون قيد أو شرط إلى معالجات أدوات MCP النهائية. وهذا يسمح لأي متصل يمكن الوصول إليه عبر الشبكة باستدعاء أدوات MCP دون مصادقة. إذا لم يتم توفير بيانات اعتماد لكل طلب، تستخدم معالجات الأدوات متغير البيئة META ACCESS TOKEN. إذا فشل استدعاء واجهة برمجة تطبيقات Meta Graph اللاحق، يقوم النظام بتسلسل عنوان URL الخام لطلب httpx — الذي يتضمن access token للمشغل كمعلمة استعلام — في نص استجابة JSON-RPC، مما يعرض بيانات الاعتماد للمتصل غير المصادق عليه. وقد يؤدي ذلك إلى تسرب بيانات اعتماد طويلة الأمد وعمليات قراءة أو كتابة غير مصرح بها على حسابات إعلانات Meta المتصلة.التوصيات
قم بتحديث Meta Ads MCP إلى الإصدار 1.0.109.
كإجراء تخفيفي مؤقت، قم بإرجاع استجابة
401 Unauthorized في AuthInjectionMiddleware.dispatch() في حالة عدم وجود auth token أو pipeboard token.في الدالة
make api request()، قم بإزالة access token من request url في حمولات الأخطاء أو قم بإرسال الرمز المميز عبر رأس Authorization: Bearer بدلاً من معلمة استعلام URL. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾