CVE-2026-48989
Açıklama
Windows-MCP, AI ajanlarını Windows ile entegre eden açık kaynaklı bir projedir. 0.7.5 öncesindeki sürümlerde, belirli HTTP modları, joker karakterli CORS'a (allow_origins=*, allow_methods=*, allow_headers=*) izin verirken MCP kontrol düzlemini kimlik doğrulama olmadan dışarı açmaktaydı. Aynı sunucunun, çağırıcı tarafından kontrol edilen komutları Windows-MCP'yi çalıştıran Windows kullanıcısı olarak yürüten bir PowerShell aracını da dışarı açması nedeniyle, saldırganlar kontrol düzlemine rastgele kaynaklardan veya tarayıcı dışı istemcilerden erişebilir ve keyfi PowerShell yürütmesi gerçekleştirebilirdi. Bu sorun 0.7.5 sürümünde giderildi.
Nasıl düzeltilir
- windows-mcp0.7.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| windows-mcpPyPI | v < 0.7.5 | 0.7.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.