CVE-2025-66414
Açıklama
MCP TypeScript SDK, Model Context Protocol sunucuları ve istemcileri için resmi TypeScript SDK'sıdır. 1.24.0 sürümünden önce, Model Context Protocol (MCP) TypeScript SDK, HTTP tabanlı sunucular için varsayılan olarak DNS yeniden bağlama korumasını etkinleştirmez. HTTP tabanlı bir MCP sunucusu, StreamableHTTPServerTransport veya SSEServerTransport ile kimlik doğrulama olmadan localhost üzerinde çalıştırıldığında ve enableDnsRebindingProtection etkinleştirilmediğinde, kötü niyetli bir web sitesi, aynı kaynak ilkesi kısıtlamalarını atlatmak ve yerel MCP sunucusuna istek göndermek için DNS yeniden bağlamayı istismar edebilir. Bu, söz konusu sınırlı durumlarda bir saldırganın kullanıcı adına MCP sunucusu tarafından sunulan araçları çağırmasına veya kaynaklara erişmesine olanak tanıyabilir. HTTP tabanlı MCP sunucularının kimlik doğrulama olmadan yerel olarak çalıştırılmasının MCP güvenlik en iyi uygulamalarına göre önerilmediğini unutmayın. Bu sorun, stdio taşıma yöntemini kullanan sunucuları etkilemez. Bu güvenlik açığı 1.24.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- lfprojects mcp_typescript_sdk1.24.0 ya da sonraki bir sürüm
- @modelcontextprotocol/sdk1.24.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mcp_typescript_sdk | v < 1.24.0 | 1.24.0 |
| @modelcontextprotocol/sdknpm | v < 1.24.0 | 1.24.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.