CVE-2026-102503

Google OSS Agent Mesh (SAM) 0.1.0-alpha.1-dən 0.1.0-alpha.2-dək versiyalarında /libp2p-http ingress serverində (cmd/sam-node/node.go faylında StartIngressServer) Kritik Funksiya üçün Autentifikasiyanın Olmaması (CWE-306) və Avtorizasiyanın Olmaması (CWE-862) autentifikasiyadan keçməmiş uzaq libp2p peer-ə Biscuit imkan siyasətinin tətbiqindən yan keçməyə və qeydiyyatdan keçmiş ixtiyari backend xidmətlərini (o cümlədən command/stdio ilə dəstəklənən MCP serverlərini, A2A və inference endpointlərini) çağırmağa imkan verir. MCP protokol axını emalçısı WithBiscuitAuth və Authorize yoxlamalarını tətbiq etsə də, paralel /libp2p-http ingress sorğuları Biscuit tokenini və ya mesh qeydiyyatını yoxlamadan birbaşa backend xidmət emalçılarına yönləndirir. İstifadəçilər 0.1.0-alpha.3 və ya daha sonrakı versiyaya yüksəltməlidirlər.