PT-2026-53919
CVE-2026-58168
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات DeepTutor الأقدم من 1.4.10
الوصف
يوجد ثغرة في تجاوز التفويض تسمح للمستخدمين ذوي الامتيازات المنخفضة باستدعاء أدوات بروتوكول سياق النموذج (MCP) دون قيود. يحدث هذا لأن الدالة
allowed mcp tools() الموجودة في الملف deeptutor/multi user/tool access.py تُرجع القيمة None بدلاً من نتيجة الرفض عندما يتم حذف mcp tools من تفويض المستخدم. ونتيجة لذلك، يمكن للمهاجمين أو المحتوى المُدرج عبر موجه الأوامر داخل جلسة عمل المستخدم حصر واستدعاء أي أداة MCP تم تكوينها، مثل خوادم نظام الملفات وبيئة العمل (shell) والمتصفح، مما يؤدي إلى الوصول غير المصرح به إلى موارد النشر الحساسة.التوصيات
قم بالتحديث إلى الإصدار 1.4.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾