CVE-2026-54449
Açıklama
LangBot, LLM'ler için tasarlanmış küresel bir IM bot platformudur. 4.10.7 ve önceki sürümlerde, kimliği doğrulanmış herhangi bir kullanıcı, yeterli bir yetkilendirme sınırı olmaksızın bir STDIO MCP sunucu yapılandırması ekleyebilir veya değiştirebilir. src/langbot/pkg/provider/tools/loaders/mcp.py dosyasında, StdioServerParameters yapılandırılmış komutu ve argümanları kabul eder ve LangBot sunucusunda sunucu tarafında bir alt süreç başlatır. Kaydolabilen veya bir hesap edinebilen bir saldırgan, Extensions MCP yapılandırmasını kullanarak LangBot hizmetinin ayrıcalıklarıyla rastgele komutlar çalıştırabilir; bu da veri ifşasına, değiştirilmesine ve hizmet kesintisine olanak tanır. Bu inceleme itibarıyla düzeltilmiş bir sürüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| langbotPyPI | v ≤ 4.10.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.