CVE-2026-55837

dbt-mcp, dbt ilə qarşılıqlı əlaqə üçün Model Context Protocol serveridir. 1.20.0 versiyasından əvvəl, src/dbt_mcp/oauth/fastapi_app.py faylındakı lokal OAuth köməkçisi, istifadəçi dbt Platform OAuth axınını tamamladıqdan sonra autentifikasiya və ya Host təsdiqi olmadan GET /dbt_platform_context nöqtəsini açıq saxlayır. Bu son nöqtə, kontekst meneceri tərəfindən saxlanılan access_token və refresh_token dəyərləri də daxil olmaqla, tam DbtPlatformContext məlumatlarını 127.0.0.1:6785 ünvanına çata bilən hər hansı prosesə qaytarır. TrustedHostMiddleware-in olmaması uzaqdakı hücumçuya qurbanın brauzerinə qarşı DNS rebinding hücumu həyata keçirməyə imkan verir, çünki köməkçi ixtiyari Host başlıqlarını qəbul edir, eyni zamanda eyni sistemdə yerləşən digər bir proses bu son nöqtəyə birbaşa sorğu göndərə bilər. Oğurlanmış tokenlər dərhal qurban kimi dbt Platform API-na giriş və refresh token vasitəsilə davamlı giriş imkanı təmin edərək layihələrin, işlərin (jobs), mühit gizli məlumatlarının (environment secrets) və əlaqəli hesab məlumatlarının əldə edilməsinə və ya dəyişdirilməsinə şərait yaradır. Bu problem 1.20.0 versiyasında düzəldilmişdir.