CVE-2026-33010
Açıklama
mcp-memory-service, çoklu ajan sistemleri için açık kaynaklı bir bellek arka ucudur. Versiyon 10.25.1 öncesinde, HTTP sunucusu etkinleştirildiğinde (MCP_HTTP_ENABLED=true), uygulama FastAPI'nin CORSMiddleware bileşenini allow_origins=['*'], allow_credentials=True, allow_methods=["*"] ve allow_headers=["*"] şeklinde yapılandırır. Joker karakter içeren Access-Control-Allow-Origin: * başlığı, herhangi bir web sitesinin API yanıtlarını çapraz kökenli (cross-origin) olarak okumasına izin verir. Bu durum, anonim erişimle (MCP_ALLOW_ANONYMOUS_ACCESS=true) —HTTP panelini OAuth olmadan çalıştırmanın en basit yolu— birleştiğinde hiçbir kimlik bilgisine ihtiyaç duyulmaz; bu nedenle kötü niyetli herhangi bir web sitesi, saklanan tüm bellekleri sessizce okuyabilir, değiştirebilir ve silebilir. Bu sorun versiyon 10.25.1 ile düzeltilmiştir.
Nasıl düzeltilir
- doobidoo mcp-memory-service10.25.1 ya da sonraki bir sürüm
- mcp-memory-service10.25.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| doobidoo mcp-memory-service | v < 10.25.1 | 10.25.1 |
| mcp-memory-servicePyPI | v < 10.25.1 | 10.25.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.