CVE-2026-54688

mcp-searxng, süni intellekt köməkçilərinə SearXNG vasitəsilə veb axtarış və URL oxuma imkanları verən Model Context Protocol serveridir. Versiya 1.2.0-dək olan versiyalarda, web_url_read çağırıcı tərəfindən təmin edilən URL-i server tərəfli fetch yoluna ötürür, lakin src/url-reader.ts faylındakı assertUrlAllowed() funksiyası yalnız MCP_HTTP_HARDEN aktiv olduqda işləyir, halbuki MCP_HTTP_HARDEN src/http-security.ts faylında standart olaraq deaktiv edilmişdir. Standart konfiqurasiyada, istifadəçi və ya süni intellekt agenti tərəfindən seçilən URL-ə təsir edə bilən hücumçu, serverin loopback, şəxsi şəbəkə və ya bulud metadata endpoint resurslarını götürməsini və onların məzmununu model kontekstinə qaytarmasını təmin edə bilər. file:// URL-ləri rədd edilməyə davam edir, ayrıca DNS-resolution və yönləndirmə validasiyası (redirect-validation) yan keçmələri bu qeydin xaricindədir. Bu problem 1.2.0 versiyasında düzəldilmişdir.