CVE-2026-50143
Açıklama
Apify MCP sunucusu, yapay zeka ajanlarının Apify Store'da bulunan hazır kazıyıcılar, tarayıcılar ve otomasyon araçlarını kullanarak web sitelerinden veri çıkarmasını sağlar. 0.10.11 sürümünden önce, src/mcp/actors.ts dosyasındaki getActorMCPServerURL fonksiyonu, güvenilir Actor bekleme URL'sini, bir Actor tanımından gelen ve saldırgan tarafından kontrol edilen webServerMcpPath ile sonuçtaki kaynağı doğrulamadan birleştirir; bu durum, kötü niyetli bir Actor yayıncısının, connectMCPClient işlemini üçüncü taraf bir ana bilgisayara yönlendirmek için userinfo tarzı bir yetki değeri kullanmasına olanak tanır. call-actor, fetch-actor-details ve actor-mcp araç yükleme yolları, bu URL'yi kurbanın Authorization bearer belirtecini ekleyen src/mcp/client.ts içindeki taşıyıcılara aktararak Apify API belirtecinin ifşa olmasına yol açar ve Actor'lara, depolanan verilere ve faturalandırılabilir hesaplama kaynaklarına erişim sağlar. Bir kurbanın, saldırgan tarafından kontrol edilen Actor'ı çağırması veya incelemesi gerekir. Bu sorun 0.10.11 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- @apify/actors-mcp-server0.10.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @apify/actors-mcp-servernpm | v < 0.10.11 | 0.10.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.