CVE-2026-45555
Təsvir
Roslyn CodeLens MCP Server, .NET kod bazaları üçün semantik kod intellekti təmin edən Roslyn əsaslı bir MCP serveridir. 0.0.9 versiyasından 1.17.0 versiyasına qədər olan hissədə, get_diagnostics MCP aləti hədəf həll (solution) tərəfindən istinad edilən bütün DiagnosticAnalyzer assemblilərini heç bir ağ siyahı, imza yoxlaması və ya istifadəçi təsdiqi olmadan yükləyir və icra edir; includeAnalyzers parametri standart olaraq true dəyərinə malikdir, buna görə də açıq şəkildə razılığın alınmasına ehtiyac yoxdur. Hücumçu tərəfindən idarə olunan DLL-ə istinad edən zərərli .csproj faylını qurbanın MCP serveri ilə açdığı yerə yerləşdirə bilən hücumçu, server prosesində serverin ƏMƏLİYYAT sistemi imtiyazları ilə ixtiyari kodun icrasını həyata keçirə bilər. Bu boşluq 1.17.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| MarcelRoozekrans roslyn-codelens-mcp | >= 0.0.9, < 1.17.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.