CVE-2026-59973

FrontMCP, Model Context Protocol (MCP) üçün TypeScript-ə əsaslanan freymvorkdur. mcp-from-openapi 2.3.0 versiyasından 2.5.0-a qədər və frontmcp və @frontmcp/adapters 1.2.1 versiyasından 1.5.0-a qədər olan versiyalarda, libs/adapters/src/openapi/openapi.adapter.ts loadOpenAPISpec() funksiyası etibarsız OpenAPI url və spec girişlərini, həmçinin loadOptions.refResolution parametrini OpenAPIToolGenerator.fromURL() və OpenAPIToolGenerator.fromJSON() funksiyalarına ötürür. Xarici $ref mühafizəsi ünvanları həll etmədən, təsdiqlənmiş ünvanları sabitləmədən, yönləndirmə hədəflərini yenidən yoxlamadan və ya IPv4-map edilmiş IPv6 ünvanlarını normallaşdırmadan analiz edilmiş host adına aid sətirləri yoxlayır. Host edilən və ya çoxistifadəçili tətbiqdə OpenAPI spesifikasiyasını idxal edə və ya konfiqurasiya edə bilən autentifikasiya olunmuş istifadəçi, daxili xidmətlərə backend-origin sorğuları göndərmək üçün DNS-to-loopback həllindən, redirect-to-loopback davranışından və ya IPv4-map edilmiş IPv6 loopback formalarından istifadə edə bilər. Bu, daxili inzibati API-ləri, metadata bənzəri xidmətləri və digər şəxsi şəbəkə son nöqtələrini üzə çıxara bilər. Yalnız etibarlı yerli administrator OpenAPI spesifikasiyalarını konfiqurasiya edə bildikdə praktiki təsir daha aşağıdır və xarici istinad protokollarının deaktiv edilməsi xarici $ref sorğusunun qarşısını alır. Bu problem mcp-from-openapi 2.5.0 və frontmcp və @frontmcp/adapters 1.5.0 versiyalarında düzəldilmişdir.