PT-2026-141123

CVE-2026-123810

Publicado

2026-07-31

Atualizado

2026-11-09

Descrição por

CVSS 3.1

4.3

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Dynatrace MCP Server versões anteriores a 2.1.1

Description Um problema de injeção de DQL existe em várias capacidades de leitura onde valores controlados pelo chamador são interpolados em strings da Dynatrace Query Language (DQL) sem validação ou escape suficientes. Isso permite que um chamador saia de literais de string, anexe estágios de pipeline DQL arbitrários ou use comentários de linha para descartar o restante da consulta pretendida. Consequentemente, os chamadores podem ignorar a seleção de campos, os limites de janela de tempo e os limites de exibição de resultados em ferramentas marcadas com readOnlyHint. Embora isso não conceda acesso a dados além da capacidade execute dql existente do token configurado, isso viola o contrato de ferramenta restrito que os clientes MCP podem usar para aprovação automática.

Os componentes e parâmetros afetados são:

src/capabilities/find-monitored-entity-by-name.ts usando o parâmetro entityNames.
src/capabilities/list-problems.ts, src/capabilities/list-vulnerabilities.ts e src/capabilities/list-exceptions.ts usando o parâmetro timeframe.
src/capabilities/get-events-for-cluster.ts usando os parâmetros timeframe, clusterId e kubernetesEntityId.