CVE-2026-102503

Google OSS Agent Mesh (SAM) 0.1.0-alpha.1 ile 0.1.0-alpha.2 sürümleri arasındaki /libp2p-http ingress sunucusunda (cmd/sam-node/node.go dosyasındaki StartIngressServer), Kritik Fonksiyon için Kimlik Doğrulama Eksikliği (CWE-306) ve Yetkilendirme Eksikliği (CWE-862) bulunmaktadır; bu durum, kimliği doğrulanmamış uzak bir libp2p eşinin Biscuit yetenek politikası uygulamasını atlamasına ve rastgele kayıtlı arka uç servislerini (command/stdio tabanlı MCP sunucuları, A2A ve çıkarım uç noktaları dahil) çağırmasına olanak tanır. MCP protokol akış işleyicisi WithBiscuitAuth ve Authorize kontrollerini uygulasay da paralel /libp2p-http ingress, istekleri bir Biscuit belirteci veya mesh kaydı doğrulamadan doğrudan arka uç servis işleyicilerine yönlendirir. Kullanıcıların 0.1.0-alpha.3 veya daha yeni bir sürüme yükseltme yapmaları önerilir.