CVE-2026-53710

MCP Context Forge MCP, A2A, REST və gRPC API-ləri üçün süni intellekt şlüzü, reyestri və proksisidir. Versiya 1.0.2-dək mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py faylındakı python_sandbox_server, safe_builtins vasitəsilə xam getattr funksiyasını təqdim edir, tələb olunan _getattr_ mühafizəsini buraxır və hərfi təhlükəli dunder sətirləri üçün validate_code yoxlamalarına güvənir. Hücumçu iş vaxtı dunder adları yarada, Python klas iyerarxiyasında keçid edə, subprocess.Popen funksiyasına çata və execute_code MCP aləti vasitəsilə server prosesinin imtiyazları ilə ƏS əmrlərini icra edə bilər. HTTP/SSE transportu bu aləti autentifikasiyasız təqdim edə bildiyi halda, yalnız stdio istifadə edən tətbiqlərdə şəbəkə əlçatanlığı məhduddur. Problem python_sandbox_server alt layihəsinə təsir edir və Context Forge-un əsas şlüz və ya proksi komponentlərinə birbaşa təsir göstərmir. Bu problem 1.0.2 versiyasında düzəldilmişdir.