PT-2026-55277
CVE-2026-50027
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
mcp-memory-service (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يتم تقديم جميع مسارات HTTP ضمن نقطة النهاية
/api/documents/* دون مصادقة، حتى عندما يكون الخادم مُهيأً باستخدام مفتاح API (MCP API KEY) أو OAuth. وهذا يسمح لمهاجم بعيد غير مصادق عليه بتحميل محتوى تعسفي إلى مخزن الذاكرة، واسترداد محتوى المستندات المخزنة، وحذف الذكريات الخاصة بالمستخدمين المصادق عليهم بشكل دائم. يحدث هذا لأن جهاز التوجيه documents.py يتم إنشاء مثيل له دون تبعيات المصادقة، مما يؤدي إلى إنشاء حدود أمان غير متسقة مقارنة بنقطة النهاية /api/memories التي تفرض المصادقة بشكل صحيح.تشمل التفاصيل الفنية نقاط النهاية المتأثرة التالية:
-
POST /upload -
POST /batch-upload -
GET /history -
GET /search-content/{upload id} -
DELETE /remove/{upload id} -
DELETE /remove-by-tags
التوصيات
أضف
Depends(require write access) أو Depends(require read access) إلى كل مسار متأثر في ملف documents.py لضمان تطبيق المصادقة بشكل صحيح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾