PT-2026-89213
CVE-2026-59176
·
تاريخ النشر
2026-09-09
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
functype-mcp-server الإصدارات السابقة لـ 1.4.4
الوصف
تسمح أداة MCP المسماة
set functype version في functype-mcp-server بتنفيذ رموز عن بُعد (RCE) لأنها تقبل سلسلة نصية version غير مقيدة وتدمجها في أمر pnpm add. يمكن للمهاجم استخدام صيغ أسماء الحزم المستعارة مثل file: أو npm: أو روابط URL أو المسارات لفرض تثبيت حزمة محلية أو عن بُعد عشوائية. بعد التثبيت، تقوم الدالة initDocsData() بتحليل واستيراد وحدة functype/cli ديناميكيًا، مما يؤدي إلى تنفيذ كود JavaScript يتحكم فيه المهاجم بصلاحيات عملية خادم MCP. يمكن استغلال ذلك بواسطة أي عميل MCP قادر على إرسال طلب tools/call أو عبر حقن المطالبات غير المباشر حيث يتم تحفيز مساعد ذكاء اصطناعي لاستدعاء الأداة من مستند أو صفحة ويب خبيثة. في عمليات النشر التي تستخدم TRANSPORT TYPE=httpStream يكون الخلل متاحًا للمهاجمين عبر الشبكة. يتيح الاستغلال الناجح للمهاجم قراءة أسرار العملية أو تعديل الملفات أو إيقاف الخادم.التوصيات
التحديث إلى الإصدار 1.4.4.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى أداة
set functype version لمنع المستخدمين غير المصرح لهم أو مساعدي الذكاء الاصطناعي من استدعائها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾