CVE-2026-53957

Contentful MCP Server, Contentful Management API üçün Model Context Protocol serveridir. @contentful/mcp-server 1.7.19 və @contentful/mcp-tools 0.4.5 versiyalarından əvvəl, packages/mcp-tools/src/tools/jobs/space-to-space-migration/exportSpace.ts və packages/mcp-tools/src/tools/jobs/space-to-space-migration/importSpace.ts fayllarındakı export_space və import_space funksiyaları host, proxy, rawProxy və insecure şəbəkə seçimlərini LLM tərəfindən idarə olunan alət arqumentlərinə açır və həmin seçimləri serverin CONTENTFUL_MANAGEMENT_TOKEN dəyişəni ilə birləşdirir. space_to_space_migration_handler miqrasiya alətlərini aktivləşdirdikdən sonra, birbaşa MCP çağırışı və ya hücumçu tərəfindən idarə olunan Contentful məzmunu vasitəsilə prompt injection, Contentful Management API sorğularını və onların Authorization başlığını hücumçunun idarə etdiyi hosta və ya proksiyə yönləndirə bilər. createToolClient istifadə edən adi alətlər təsirlənmir, çünki həmin alətlər hostu server konfiqurasiyasında sabitləyir. Şəxsi giriş tokeninin ifşası, tokenin əhatə dairəsində olan hər bir Contentful sahəsinə davamlı kənar (out-of-band) girişi mümkün edir. Bu problem @contentful/mcp-server 1.7.19 və @contentful/mcp-tools 0.4.5 versiyalarında düzəldilmişdir.