PT-2026-50795
CVE-2026-49257
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mcp-pinot الأقدم من 3.1.0
الوصف
mcp-pinot هو خادم بروتوكول سياق النموذج (MCP) القائم على لغة Python للتفاعل مع Apache Pinot. يعمل البرنامج افتراضيًا على تشغيل خادم HTTP MCP مرتبط بـ 0.0.0.0:8080 دون مصادقة. وهذا يسمح لأي متصل مجاور عبر الشبكة بالوصول إلى جميع أدوات MCP، بما في ذلك تنفيذ استعلامات SQL، وإنشاء المخططات، وتغيير تكوين الجداول. يقوم الخادم بتمثيل هذه الطلبات باستخدام بيانات اعتماد Pinot من جانب الخادم، مما يؤدي إلى حالة «الوكيل المربك» (confused-deputy) — حيث يتم خداع كيان متمتع بامتيازات لتنفيذ إجراءات نيابة عن مستخدم غير مصرح له — مما ينتج عنه وصول كامل للقراءة والكتابة إلى مجموعة Pinot المُهيأة.
التوصيات
قم بالتحديث إلى الإصدار 3.1.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾