CVE-2025-4144
Təsvir
MCP framework-ün (https://github.com/cloudflare/workers-mcp) bir hissəsi olan workers-oauth-provider-dəki OAuth tətbiqində PKCE tətbiq edilmişdir. Lakin, hücumçunun bu yoxlamanın ötürülməsinə səbəb ola biləcəyi aşkar edilmişdir. Düzəlişlər burada əks olunub: https://github.com/cloudflare/workers-oauth-provider/pull/27 https://github.com/cloudflare/workers-oauth-provider/pull/27 Təsir: PKCE müəyyən növ hücumlara qarşı dərinlikdə müdafiə mexanizmidir və OAuth 2.0-da opsional genişlənmə idi, lakin OAuth 2.1 layihəsində tələb olunan elementə çevrilmişdir. (Qeyd edək ki, MCP spesifikasiyası OAuth 2.1-i tələb edir). Bu xəta PKCE mühafizəsini tamamilə yan keçir.
Necə düzəltmək olar
- @cloudflare/workers-oauth-provider0.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cloudflare workers-oauth-provider | 0.0.5 | — |
| @cloudflare/workers-oauth-providernpm | v < 0.0.5 | 0.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.