PT-2026-53652
CVE-2026-11720
·
تاريخ النشر
2026-06-29
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
googleapis/mcp-toolbox (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة في اجتياز المسار في أداة إنشاء عناوين URL الخاصة بـ HTTP. عند إنشاء طلبات واجهة برمجة التطبيقات (API) النهائية، تقوم الأداة باستبدال
pathParams التي يتحكم فيها المستخدم في مسار الأداة المُهيأ، وتقوم بتحليل النتيجة كعنوان URL نسبي. وعلى الرغم من أن النظام يتحقق من أن المدخلات لا تُغير نظام التعيين أو المضيف أو معلومات المستخدم، فإنه يستخدم ResolveReference لحل عنوان URL النهائي. ونظرًا لأن أجزاء النقطة (../) يتم توحيدها خلال هذه العملية، يمكن للمهاجم استخدام تسلسلات اجتياز الدليل في معلمات المسار للخروج عن نطاق المسار المُهيأ. وهذا يمكّن العميل من إجبار مجموعة الأدوات على إرسال طلبات إلى نقاط نهاية غير مقصودة على نفس المضيف المستهدف مع إعادة توجيه بيانات الاعتماد المُهيأة.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾