CVE-2026-77518
Təsvir
MaxKB müəssisələr üçün açıq mənbəli AI assistentidir. 2.10.2-lts və daha əvvəlki versiyalarda, eyni iş sahəsində olan digər istifadəçinin aktiv MCP tool_id-sini bilən adi iş sahəsi istifadəçisi, tool-detail marşrutu vasitəsilə gizli aləti əldə edə bilər, çünki bu marşrut list marşrutunda istifadə olunan resurs üzrə avtorizasiyanı tətbiq etmir. Cavab Tool.code hissəsini ehtiva edir ki, bura MCP server konfiqurasiyası və başlıqları daxil ola bilər. Özünə məxsus iş axınını yarada və ya redaktə edə bilən hücumçu, həmin kənar mcp_tool_id-ni iş axınının mcp-node hissəsinə yerləşdirə bilər, beləliklə, iş axınının sazlanması (debug) zamanı həmin alətin istifadəsi üçün icazə yoxlanılmadan sahibinin MCP konfiqurasiyasından istifadə olunur. Bu baxış tarixinə etibarən heç bir düzəliş edilmiş versiya mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 1Panel-dev MaxKB | <= 2.10.2-lts | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.