PT-2026-60101
CVE-2026-54446
·
تاريخ النشر
2026-07-14
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
netlicensing-mcp الإصدار 0.1.5
الوصف
عند التشغيل في وضع نقل HTTP، يفشل البرنامج في فرض المصادقة في
ApiKeyMiddleware. يتم إعادة توجيه الطلبات التي لا توفر مفتاح API للعميل دون قيد أو شرط إلى المعالج التالي. ونتيجة لذلك، يلجأ النظام إلى استخدام متغير بيئة NETLICENSING API KEY الخاص بمشغل الخادم لمصادقة المكالمات الموجهة إلى واجهة برمجة تطبيقات REST الخاصة بـ NetLicensing. وهذا يسمح لمهاجم شبكي غير مصدق عليه باستدعاء أي أداة من أدوات MCP، بما في ذلك عمليات عرض قائمة المنتجات، وإنشاء التراخيص، وتعديلها، وعمليات الحذف التدميرية، باستخدام هوية المشغل وحصة حسابه.تشمل التفاصيل الفنية ما يلي:
-
نقاط نهاية واجهة برمجة التطبيقات (API): نقطة النهاية
/mcpمعرضة للوصول غير المصدق عليه. -
المعلمات أو المتغيرات المعرضة للخطر: لا يتم فرض رأس
x-netlicensing-api-keyومعلمة الاستعلامapikey، ويتم استخدام متغير البيئةNETLICENSING API KEYكحل بديل غير آمن. -
أسماء الوظائف: تفشل
ApiKeyMiddlewareفي رفض الطلبات عند عدم وجود مفتاح.
التوصيات
بالنسبة للإصدار 0.1.5، قم بتحديث
ApiKeyMiddleware في ملف server.py بحيث تُرجع استجابة 401 غير مصرح به عند عدم توفير مفتاح API صالح، باستثناء نقطة النهاية /health.كإجراء تخفيفي مؤقت، قم بتقييد الوصول عبر الشبكة إلى نقطة النهاية
/mcp على المصادر الموثوقة فقط.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾