CVE-2026-45781
Açıklama
MCP Registry, MCP istemcilerine bir uygulama mağazası gibi MCP sunucularının listesini sağlar. 1.7.9 sürümünden önce, üst akış OCI kayıt defteri HTTP 429 döndürdüğünde OCI sahiplik doğrulaması etiket eşleştirme kontrolünü atlar; bu durum, kimliği doğrulanmış herhangi bir yayıncının io.github.<user>/* ad alanını kontrol etmedikleri OCI imajlarına bağlamasına izin verir. internal/validators/registries/oci.go:104-119 satırları http.StatusTooManyRequests durumunda güvenli olmayan şekilde açık kalır: kayıt defterinin üst akış OCI kayıt defterine yaptığı anonim getirme işlemi hız sınırına takıldığında, ValidateOCI nil döner ve yayınlama işlemi, 122-141. satırlardaki io.modelcontextprotocol.server.name etiket eşleştirme kontrolü hiç çalıştırılmadan kabul edilir. Bu etiket kontrolü, kayıt defterinin OCI paketlerine uyguladığı tek sistemler arası sahiplik kanıtıdır; diğer tüm kayıt defteri türleri (NPM, PyPI, NuGet, MCPB), 200 dışındaki bir üst akış yanıtını kesin hata olarak değerlendirir. Bu güvenlik açığı 1.7.9 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/modelcontextprotocol/registry1.7.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/modelcontextprotocol/registryGo | v < 1.7.9 | 1.7.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.