CVE-2026-27203
Açıklama
eBay API MCP Server, yapay zeka asistanlarına eBay'in Sell API'lerine kapsamlı erişim sağlayan açık kaynaklı bir yerel MCP sunucusudur. Tüm sürümler, updateEnvFile fonksiyonu üzerinden Ortam Değişkeni Enjeksiyonuna (Environment Variable Injection) karşı savunmasızdır. ebay_set_user_tokens aracı, .env dosyasının yeni tokenlar ile güncellenmesine olanak tanır. src/auth/oauth.ts dosyasındaki updateEnvFile fonksiyonu, değerleri yeni satırlar veya tırnak işaretleri açısından doğrulamadan körüce ekler veya değiştirir. Bu durum, bir saldırganın yapılandırma dosyasına rastgele ortam değişkenleri enjekte etmesine izin verir. Bir saldırgan, .env dosyasına keyfi ortam değişkenleri enjekte edebilir. Bu durum; yapılandırmaların üzerine yazılmasına, Hizmet Reddi (DoS) ve potansiyel uzaktan kod çalıştırmaya (RCE) yol açabilir. Yayınlanma tarihinde bu sorun için herhangi bir düzeltme yayınlanmamıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ebay-mcpnpm | v ≤ 1.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.