CVE-2026-57496
Açıklama
NetLicensing MCP Server, ajan tabanlı uygulamaların Labs64 NetLicensing içindeki yazılım lisanslama yaşam döngüsünü yönetmesini sağlayan doğal dil arayüzüdür. 0.1.8 sürümünden önce, netlicensing_get_product fonksiyonu, çağırıcı tarafından kontrol edilen product_number değerini src/netlicensing_mcp/tools/products.py dosyasına iletir; bu değer, yol segmenti doğrulaması yapılmaksızın src/netlicensing_mcp/client.py içindeki nl_get() tarafından tüketilen bir REST yoluyla ilişkilendirilir. Bir dizin geçiş (traversal) segmenti, hedeflenen ürün yolundan /token uç noktasına normalize edilebilir ve ardından yanıt, _wrap_json_token_read yerine _wrap_json aracılığıyla serileştirilerek APIKEY numarası ve SHOP shopURL alanları için redact_token_read() korumalarını atlar. Yönetici olmayan bir API anahtarına sahip kimliği doğrulanmış bir MCP istemcisi, düz metin belirteç (token) değerlerini alabilir ve elde edilen bir yönetici belirteci, NetLicensing hesabına geniş okuma, yazma ve silme erişimi sağlayabilir. Bu sorun 0.1.8 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- netlicensing-mcp0.1.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netlicensing-mcpPyPI | v < 0.1.8 | 0.1.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.