CVE-2026-90898
Təsvir
Bifrost idarəetmə API-si vasitəsilə MCP klientlərini qeydiyyata alır. stdio klienti bir əmr və arqumentlərdən ibarətdir. Klient əlavə edildiyi anda Bifrost həmin proqramı şlüzdə başladır. Heç bir MCP əl sıxma (handshake) tələb olunmur. Defolt olaraq governance.auth_config.is_enabled=false təyin edilmişdir. Autentifikasiyanın söndürülməsi o deməkdir ki, hər bir çağırıcı lokal administrator hesab olunur. Bir dənə autentifikasiya olunmamış POST /api/mcp/client sorğusu proqramı Bifrost proses istifadəçisi (rəsmi obrazda appuser) kimi işə salmaq üçün kifayətdir. transports/v2.1.0 versiyası autentifikasiya olunmamış stdio qeydiyyatını 403 xətası ilə rədd edir. transports/v2.0.0 versiyası isə buna hələ də icazə verir.
Necə düzəltmək olar
- maximhq Bifrost2.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| maximhq Bifrost | v < 2.1.0 | 2.1.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.