CVE-2026-57496

NetLicensing MCP Server, agentik tətbiqlərə Labs64 NetLicensing-də proqram təminatı lisenziyalaşdırma həyat dövrünü idarə etməyə imkan verən təbii dil interfeysidir. Versiya 0.1.8-dən əvvəl, netlicensing_get_product funksiyası çağırıcı tərəfindən idarə olunan product_number parametrini src/netlicensing_mcp/tools/products.py faylına ötürür və bu parametr yol seqmentinin yoxlanılması olmadan src/netlicensing_mcp/client.py faylında nl_get() tərəfindən istifadə edilən REST yolu daxilinə yerləşdirilir. Traversal seqmenti nəzərdə tutulan məhsul yolundan /token son nöqtəsinə yönləndirilə bilər, bundan sonra cavab _wrap_json_token_read əvəzinə _wrap_json vasitəsilə seriyallaşdırılır ki, bu da APIKEY nömrəsi və SHOP shopURL sahələri üçün redact_token_read() mühafizə mexanizmlərindən yan keçməyə səbəb olur. İnzibati olmayan API açarına malik autentifikasiya olunmuş MCP kliyenti şifrələnməmiş token dəyərlərini əldə edə bilər və bərpa edilmiş inzibati token NetLicensing hesabına geniş oxuma, yazma və silmə girişi təmin edə bilər. Bu problem 0.1.8 versiyasında düzəldilmişdir.