CVE-2026-49257
Təsvir
mcp-pinot, Apache Pinot ilə qarşılıqlı əlaqə üçün Python əsaslı Model Context Protocol (MCP) serveridir. 3.0.1 və daha aşağı versiyalarda mcp-pinot standart olaraq autentifikasiya aktiv edilmədən 0.0.0.0:8080 ünvanına bağlanmış HTTP MCP serverini işlədir. SQL sorğularının icrası, sxemin yaradılması və table-config mutasiyası daxil olmaqla bütün MCP alətləri şəbəkədə yaxın olan hər hansı çağırıcı tərəfindən əlçatandır. Server bu çağırışları server tərəfli Pinot etibarnamələrindən istifadə edərək proksi edir ki, bu da konfiqurasiya edilmiş Pinot klasterinə tam oxuma/yazma girişi təmin edən "confused-deputy" vəziyyətinə səbəb olur. Bu problem 3.1.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- mcp-pinot-server3.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mcp-pinot-serverPyPI | v < 3.1.0 | 3.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.