CVE-2026-53711
Açıklama
MCP Context Forge, ağ geçidi kaynaklarını yönetmek için bir MCP Admin UI sağlar. 0.2.0 ile 0.3.1 sürümleri arasında, Global Prompts özelliği, MCP Admin UI tarafından işlenmeden önce bir istem şablonunu yeterli çıktı kodlaması olmadan saklar. Kimliği doğrulanmış bir saldırgan, betik çalıştırabilen olay işleyicileri içeren işaretlemeler kaydedebilir ve bu kod, başka bir kullanıcı kaydedilen istemi görüntülediğinde yürütülür. Bu saklanan siteler arası betik çalıştırma (XSS), arayüzü değiştirebilir, kimlik avı içeriği sunabilir, sayfanın erişebildiği tuş vuruşlarını gözlemleyebilir ve görüntüleyicinin tarayıcı oturumuyla işlem yapabilir. Bu sorun 0.3.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| IBM mcp-context-forge | >= 0.2.0, < 0.3.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.