CVE-2026-55096
Açıklama
fast-mcp-telegram bir Telegram MCP Sunucusudur. Versiyon 30.1 öncesinde, send_message/send_message_to_phone MCP araçları dosyaları http(s) URL'leri listesi olarak kabul etmekte ve sunucu bu dosyaları indirerek giden Telegram mesajına eklemektedir. İndirmeler, URL'nin literal ana makine dizesini kontrol eden ancak hiçbir zaman DNS çözümlemesi yapmayan bir SSRF engelleme listesi olan _validate_url_security tarafından korunmaktadır. Getirme işlemi (httpx.AsyncClient.get), istek sırasında kendi çözümlemesini gerçekleştirmektedir. Sonuç olarak, döngüsel (loopback) / özel (private) / yerel bağlantı (link-local) adresine çözümlenen bir ana makine adı, block_private_ips=True ve allow_http_urls=False şeklindeki güvenli varsayılanlara rağmen korumayı geçmekte ve getirilmektedir. Getirilen gövde saldırgana bir Telegram dosya eki olarak döndürüldüğü için bu durum kör olmayan, tam okuma sağlayan ve veri sızdıran bir SSRF'dir. Bu sorun versiyon 30.1 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| leshchenko1979 fast-mcp-telegram | < 30.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.