CVE-2026-48787

gin-vue-admin AI dəstəkli əsas inkişaf platformasıdır. 2.9.1 versiyasında kod generasiyası funksiyasına və MCP idarəetmə interfeysinə çıxışı olan autentifikasiyadan keçmiş hücumçu POST /autoCode/addFunc vasitəsilə hücumçunun nəzarət etdiyi Go mənbə kodunu yeridərək və sonra POST /autoCode/mcpStart çağırışı ilə ayrıca MCP xidmətinin yenidən qurulmasını və yenidən işə salınmasını tetikləyərək bu zəiflikdən istifadə edə bilər. Bu, tətbiq prosesinin imtiyazları ilə serverdə ixtiyari əməliyyat sistemi əmrlərinin icrasına imkan verir. Uğurlu istismar uzaqdan kodun icrasına (RCE), backend mənbə kodunun və ya işləmə məntiqinin dəyişdirilməsinə, davamlı backdoor-ların yerləşdirilməsinə, tətbiq məlumatlarına və konfiqurasiyasına çıxışa və ya onların manipulyasiyasına, həmçinin eyni xidmət hesabı və ya imtiyaz kontekstində işləyən lokal resurslara əlavə təsirə səbəb ola bilər. Risk mənbə ağacını saxlayan, mənbə fayllarına yazmağa icazə verən və ayrıca MCP komponentlərinin lokal qurulmasını və ya işə salınmasını dəstəkləyən yerləşdirmələrdə ən yüksəkdir. Yalnız binar buraxılışlardan istifadə edilən, yalnız oxuna bilən fayl sistemləri olan və ya lokal qurma imkanları çıxarılmış mühitlərdə tam hücum zəncirinin istismar edilə bilənliyi əhəmiyyətli dərəcədə azalır. Bununla belə, onlayn kod generasiyası imkanı və MCP tərəfindən idarə olunan işə salma iş axını aktivləşdirildikdən sonra ümumi təhlükəsizlik təsiri yüksək və ya kritik səviyyəyə çata bilər. Dərc olunma vaxtına görə, düzəldilmiş versiyanın mövcud olub-olmadığı bilinmir. Müvəqqəti həll kimi, `humpPackageName`, `packageName`, `FuncName` və `Router` kimi yol və identifikatorla əlaqəli sahələrə ciddi allowlist validasiyası tətbiq edin və yalnız təhlükəsiz identifikator formatlarına icazə verin.