CVE-2026-53710

MCP Context Forge; MCP, A2A, REST ve gRPC API'leri için bir yapay zeka ağ geçidi, kayıt defteri ve proxydir. 1.0.2 sürümünden önce, mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py içindeki python_sandbox_server, safe_builtins aracılığıyla ham getattr fonksiyonunu açığa çıkarmakta, gerekli olan _getattr_ korumasını atlamakta ve literal tehlikeli dunder dizgeleri için validate_code kontrollerine güvenmektedir. Bir saldırgan, çalışma zamanında dunder isimleri oluşturabilir, Python sınıf hiyerarşisinde gezinebilir, subprocess.Popen'e ulaşabilir ve execute_code MCP aracı üzerinden sunucu işlem ayrıcalıklarıyla işletim sistemi komutları çalıştırabilir. HTTP/SSE taşıma katmanı bu aracı kimlik doğrulama olmadan açığa çıkarabilirken, yalnızca stdio kullanan dağıtımlarda ağ erişilebilirliği daha düşüktür. Bu sorun python_sandbox_server alt projesini etkilemekte olup, çekirdek Context Forge ağ geçidi veya proxy bileşenlerini doğrudan etkilememektedir. Bu sorun 1.0.2 sürümünde düzeltilmiştir.