CVE-2026-27203
Təsvir
eBay API MCP Server, süni intellekt köməkçilərinə eBay-in Sell API-lərinə geniş giriş imkanı təmin edən açıq mənbəli lokal MCP serverdir. Bütün versiyalar updateEnvFile funksiyası vasitəsilə mühit dəyişənlərinin inyeksiyasına (Environment Variable Injection) qarşı həssasdır. ebay_set_user_tokens aləti .env faylının yeni tokenlərlə yenilənməsinə imkan verir. src/auth/oauth.ts faylındakı updateEnvFile funksiyası dəyərləri yeni sətir simvolları və ya dırnaq işarələri üçün yoxlamadan kor-koranə əlavə edir və ya əvəz edir. Bu, hücumçuya konfiqurasiya faylına ixtiyari mühit dəyişənlərini yerləşdirməyə imkan verir. Hücumçu .env faylına ixtiyari mühit dəyişənlərini inyeksiya edə bilər. Bu, konfiqurasiyanın üzərinə yazılmasına, Xidmətdən imtinaya (DoS) və potensial olaraq uzaqdan kodun icrasına (RCE) səbəb ola bilər. Nəşr edildiyi vaxtda bu problem üçün heç bir düzəliş mövcud olmayıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ebay-mcpnpm | v ≤ 1.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.