CVE-2026-58483
Təsvir
mcp-searxng, süni intellekt köməkçilərinə SearXNG vasitəsilə veb axtarış və URL oxuma imkanları verən Model Context Protocol serveridir. Versiya 1.7.1-dən əvvəl, src/index.ts faylındakı web_url_read funksiyası çağırıcı tərəfindən təmin edilən URL-i src/url-reader.ts faylındakı readUrlContent() funksiyasına ötürür; burada checkContentLength() funksiyası çatışmayan Content-Length başlığını qeyri-müəyyən ön uçuş (preflight) kimi qəbul edir və daha sonra normal və xəta yolları response.text() ilə bütün gövdəni istehlak edir. Beləliklə, Content-Length başlığı olmayan bir server URL_READ_MAX_CONTENT_LENGTH_BYTES məhdudiyyətini yan keçə və limitsiz yaddaş istifadəsinə səbəb ola bilər. Nəticədə alınan sətir həmçinin NodeHtmlMarkdown.translate() tərəfindən emal edilir ki, bu da CPU istehlakını artırır və autentifikasiya olunmamış HTTP klientinə xidmətdən imtina (DoS) yaratmağa imkan verir. Bu problem 1.7.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- mcp-searxng1.7.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mcp-searxngnpm | v < 1.7.1 | 1.7.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.