CVE-2026-48814
Təsvir
Network-AI TypeScript/Node.js əsaslı çoxagentli orkestratordur. Versiya 5.7.1 və daha erkən versiyalarda, boş standart sirr (secret) səbəbindən MCP SSE serveri autentifikasiyasız çarpaz mənşəli (cross-origin) MCP alətlərinin çağırılmasına icazə verir. Bu problem versiya 5.4.5-də CVE-2026-46701 vasitəsilə CORS boşluğunun bağlanması ilə (Access-Control-Allow-Origin artıq yalnız localhost mənşələri üçün təyin edilib) qismən həll edilmişdir, lakin başlıqda təsvir olunan boş standart sirr problemi qalmışdır: SSE MCP serveri hələ də standart olaraq boş sirrdən istifadə edirdi, _isAuthorized() funksiyası sirr boş olduqda hələ də true qaytarırdı və loopback olmayan bind yalnız xəbərdarlıq istehsal edirdi. Nəticədə, server standart olaraq tamamilə autentifikasiyasız işləməyə davam edirdi. Brauzerdən kənar hər hansı çağıran tərəf (məsələn, curl, SSRF və ya 0.0.0.0 bind) heç bir etibarnama olmadan bütün 22 MCP alətini (config_set, agent_spawn, blackboard_write, token_*) çağıra bilərdi. Bu problem versiya 5.7.2-də düzəldilmişdir.
Necə düzəltmək olar
- network-ai5.7.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| network-ainpm | v < 5.7.2 | 5.7.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.