PT-2026-60803
CVE-2026-57860
·
تاريخ النشر
2026-07-17
·
تاريخ التحديث
2026-07-19
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
ForgeCode (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يقوم ForgeCode، وهو واجهة سطر أوامر (CLI) للبرمجة الثنائية المدعومة بالذكاء الاصطناعي، بتحميل خوادم بروتوكول سياق النموذج (MCP) المحددة في ملف
.mcp.json الخاص بالمستودع وتنفيذها تلقائيًا عند بدء التشغيل دون الحاجة إلى تأكيد من المستخدم. يمكن أن يحتوي مستودع ضار على ملف .mcp.json مُعد خصيصًا، حيث تحدد إدخالات mcpServers قيمًا تعسفية لـ command وargs. وعند تنفيذ واجهة سطر الأوامر داخل مستودع مستنسخ غير موثوق به، يتم تشغيل هذه الأوامر بامتيازات المستخدم الذي قام باستدعائها، مما يؤدي إلى تنفيذ تعليمات برمجية تعسفية. وتُعد هذه المشكلة آلية للوصول الأولي والاستمرارية ضد المطورين الذين يقومون بتقييم المستودعات غير الموثوق بها.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾