CVE-2026-55837

dbt-mcp, dbt ile etkileşim kurmak için kullanılan bir Model Context Protocol sunucusudur. 1.20.0 sürümünden önce, src/dbt_mcp/oauth/fastapi_app.py dosyasındaki yerel OAuth yardımcısı, bir kullanıcı dbt Platform OAuth akışını tamamladıktan sonra GET /dbt_platform_context uç noktasını kimlik doğrulama veya Host doğrulaması olmaksızın dışarı açmaktadır. Bu uç nokta; context manager tarafından kalıcı hale getirilen access_token ve refresh_token değerleri dahil olmak üzere tüm DbtPlatformContext içeriğini, 127.0.0.1:6785 adresine erişebilen herhangi bir sürece döndürür. TrustedHostMiddleware eksikliği, yardımcının rastgele Host başlıklarını kabul etmesi nedeniyle uzak bir saldırganın kurbanın tarayıcısına karşı DNS rebinding yöntemini kullanmasına izin verirken, aynı konumdaki bir süreç uç noktaya doğrudan istek gönderebilir. Çalınan belirteçler, kurban adına anında dbt Platform API erişimi ve yenileme belirteci aracılığıyla kalıcı erişim sağlayarak projelerin, işlerin, ortam sırlarının ve ilgili hesap verilerinin erişilmesine veya değiştirilmesine olanak tanır. Bu sorun 1.20.0 sürümünde düzeltilmiştir.