CVE-2026-44428
Təsvir
MCP Registry, MCP serverləri üçün tətbiq mağazasına bənzər şəkildə, MCP klientlərinə MCP serverlərinin siyahısını təqdim edir. Versiya 1.7.6-ya qədər, klient və server tərəfli GitHub OIDC axını hədəflənən konkret reyestr instansiyasına deyil, yalnız qlobal auditoriya sətirinə bağlanmışdı. Klient tərəfdə nəşrçi, seçilmiş --registry URL-dən asılı olmayaraq, GitHub Actions ID tokenini sorğu edərkən həmişə audience=mcp-registry hissəsini əlavə edirdi. Server tərəfdə mübadilə nöqtəsi yalnız həmin sabit auditoriyanı yoxlayır və daha sonra nəşr icazələrini birbaşa repository_owner-dən törədir. Nəticədə, bir reyestr yerləşdirməsi ilə qarşılıqlı əlaqə zamanı qanuni şəkildə əldə edilmiş token, eyni kodu və auditoriya sətirini paylaşan digər istənilən yerləşdirmə üçün də qəbul edilə bilir. Bu zəiflik 1.7.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- lfprojects mcp_registry1.7.6 və ya daha yeni versiya
- github.com/modelcontextprotocol/registry1.7.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mcp_registry | v < 1.7.6 | 1.7.6 |
| github.com/modelcontextprotocol/registryGo | v < 1.7.6 | 1.7.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.