CVE-2026-48039

Kritik

Açıklama

Meta Ads MCP, yapay zeka asistanlarının Meta Ads çalıştırmasına olanak tanıyan bir Model Context Protocol (MCP) sunucusudur. 1.0.109 sürümünden önce, `http_auth_integration.py:272` konumundaki `AuthInjectionMiddleware.dispatch()`, kimliği doğrulanmamış Streamable HTTP isteklerini `401` yanıtı vermeksizin koşulsuz olarak alt akış MCP araç işleyicilerine ileterek, ağ üzerinden erişilebilen herhangi bir çağıranın MCP araçlarını kimlik doğrulama olmadan çağırmasına izin veriyordu. İstek başına kimlik bilgisi mevcut olmadığında, araç işleyicileri `META_ACCESS_TOKEN` ortam değişkenine geri dönüyor ve alt akış Meta Graph API çağrısı başarısız olduğunda, `api.py:263–269` ham `httpx` istek URL'sini—operatörün `access_token` değerini sorgu parametresi olarak içerecek şekilde—JSON-RPC yanıt gövdesine serileştirerek kimlik bilgisini kimliği doğrulanmamış çağırana iletiyordu. 1.0.109 sürümü bu sorunu düzeltir.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünMeta-ads-mcp

Yayın7 Ağu 2026

İlk görülme7 Ağu 2026

Zayıflık türüCWE-287Hatalı kimlik doğrulama

Nasıl düzeltilir

Güncelleyin

meta-ads-mcp1.0.109 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
meta-ads-mcpPyPI	v < 1.0.109	1.0.109

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.