CVE-2026-54547

Meta Ads MCP, yapay zeka asistanlarının Meta Ads çalıştırmasına olanak tanıyan bir Model Context Protocol (MCP) sunucusudur. Versiyon 1.0.115 öncesinde, meta_ads_mcp/core/http_auth_integration.py dosyasındaki AuthInjectionMiddleware, HTTP MCP isteklerini yalnızca hem auth_token hem de pipeboard_token eksik olduğunda reddederken; extract_token_from_headers() fonksiyonu X-Pipeboard-Token değerini birincil kimlik bilgisi olarak tanımamaktadır. Bu nedenle, streamable-http taşımasını kullanan bir ağ çağırıcısı herhangi bir X-Pipeboard-Token değeri göndererek kimlik doğrulama bağlamı oluşturmadan korumayı geçebilir ve get_auth_token() fonksiyonunun sunucu operatörünün META_ACCESS_TOKEN değerine geri dönmesine neden olabilir. Sonraki MCP araçları, operatörün Meta kimlik bilgileriyle çalıştırılır ve operatörün Meta Ads verilerini okuyabilir veya değiştirebilir. Varsayılan stdio taşımasını kullanan veya META_ACCESS_TOKEN içermeyen dağıtımlar etkilenmemektedir. Bu sorun versiyon 1.0.115 ile düzeltilmiştir.