CVE-2026-54689

mcp-searxng, yapay zeka asistanlarına SearXNG aracılığıyla web araması ve URL okuma yetenekleri sağlayan bir Model Context Protocol sunucusudur. 1.2.0 sürümünden önce, MCP_HTTP_HARDEN etkinleştirilmişken ve MCP_HTTP_ALLOW_PRIVATE_URLS etkinleştirilmemişken; yönlendirme hedeflerinin yeniden doğrulanmaması, 0.0.0.0'ın dahili bir adres olarak sınıflandırılmaması ve onaltılık forma kanonikleştirilmiş IPv4-eşlemeli IPv6 literallerinin tanınmaması nedeniyle src/url-reader.ts dosyasındaki web_url_read URL politikası atlatılabilir. Bu girdiler, saldırgan tarafından etkilenen bir araç çağrısının, MCP sunucusunun döngüsel (loopback) veya dahili HTTP kaynaklarını getirmesine ve yerel servislerden, özel API'lerden, servis ağı uç noktalarından veya bulut meta veri uç noktalarından içerik döndürmesine olanak tanır. Daha önceki kısmi düzeltmede ele alınan ayrı ana bilgisayar adı-özel adres durumu, bu kalıntı atlatmaların bir parçası değildir. Bu sorun 1.2.0 sürümünde düzeltilmiştir.