CVE-2026-44428
Açıklama
MCP Registry, MCP istemcilerine bir uygulama mağazası gibi MCP sunucularının listesini sağlar. 1.7.6 sürümünden önce, istemci tarafı ve sunucu tarafı GitHub OIDC akışı, hedeflenen belirli kayıt defteri örneğine değil, yalnızca küresel bir audience dizesine bağlıdır. İstemci tarafında yayıncı, seçilen --registry URL'sine bakılmaksızın, GitHub Actions ID belirteci isterken her zaman audience=mcp-registry ekini ekler. Sunucu tarafında ise değişim uç noktası yalnızca aynı sabit audience değerini doğrular ve ardından yayınlama izinlerini doğrudan repository_owner üzerinden türetir. Sonuç olarak, bir kayıt defteri dağıtımıyla etkileşime girerken meşru olarak elde edilen bir belirteç, aynı kodu ve audience dizesini paylaşan diğer tüm dağıtımlar için kabul edilebilir kalmaya devam eder. Bu güvenlik açığı 1.7.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- lfprojects mcp_registry1.7.6 ya da sonraki bir sürüm
- github.com/modelcontextprotocol/registry1.7.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mcp_registry | v < 1.7.6 | 1.7.6 |
| github.com/modelcontextprotocol/registryGo | v < 1.7.6 | 1.7.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.