CVE-2026-54689

mcp-searxng, süni intellekt köməkçilərinə SearXNG vasitəsilə veb axtarış və URL oxuma imkanları verən Model Context Protocol serveridir. Versiya 1.2.0-dək, MCP_HTTP_HARDEN aktiv olduğu və MCP_HTTP_ALLOW_PRIVATE_URLS deaktiv olduğu halda, src/url-reader.ts faylındakı web_url_read URL siyasətindən yan keçmək mümkündür; buna yönləndirmə hədəflərinin yenidən təsdiqlənməməsi, 0.0.0.0 ünvanının daxili ünvan kimi təsnif edilməməsi və onaltılıq formaya gətirilmiş IPv4-map edilmiş IPv6 literallarının tanınmaması səbəb olur. Bu girişlər hücumçu tərəfindən idarə olunan alət çağırışına MCP serverinin loopback və ya daxili HTTP resurslarını əldə etməsinə və yerli xidmətlərdən, şəxsi API-lardan, servis-mesh son nöqtələrindən və ya bulud metadata son nöqtələrindən məzmunu qaytarmasına imkan verir. Əvvəlki qismən düzəlişlə həll edilmiş ayrıca hostnamenin şəxsi ünvana çevrilməsi halı bu qalıq yan keçmələrin bir hissəsi deyil. Bu problem 1.2.0 versiyasında düzəldilmişdir.