CVE-2026-49856
Açıklama
@jshookmcp/jshook, yapay zeka ajanlarına JavaScript analizi ve güvenlik araştırmaları için araçlar sunan bir MCP sunucusudur. Versiyon 0.3.1'de, ağ alanı; açık bir yetkilendirme nesnesi özel ağ erişimine izin vermediği sürece özel, döngüsel (loopback), yerel bağlantı (link-local) ve ayrılmış hedefleri engelleyen merkezi bir SSRF yetkilendirme politikasına sahiptir. Bu politika ham HTTP/TCP/TLS RTT araçları tarafından uygulanmaktadır ancak ICMP probe ve traceroute araçları hedefi çözümleyerek yerel ICMP/traceroute sink işlemini doğrudan çağırmaktadır. Bu nedenle, aktif bir ağ alanına erişimi olan bir MCP istemcisi, diğer ham ağ araçları için yerel SSRF erişimi devre dışı bırakılmış olsa bile, jshookmcp sunucusundan dahili adresleri sorgulamasını isteyebilir. Bu durum, sunucu ağ konumundan dahili erişilebilirlik ve rota eşleme primitifini açığa çıkarmaktadır. Versiyon 0.3.2 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- @jshookmcp/jshook0.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @jshookmcp/jshooknpm | 0.3.1 ≤ v < 0.3.2 | 0.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.