CVE-2026-58446

0.8.8-beta öncesindeki Presenton, oturum kimlik doğrulamasıyla (AUTH_USERNAME/AUTH_PASSWORD) yapılandırılmış server/Docker dağıtımlarında, nginx ön yüzünün /mcp yoluna auth_request kapısını uygulamaması ve MCP sunucusunun yapılandırılan kullanıcı için otomatik olarak geçerli bir dahili oturum belirteci oluşturması nedeniyle, bu yola kimlik doğrulaması olmadan erişilmesine izin veren bir MCP sunucusu barındırmaktadır. Uzaktan kimlik doğrulaması yapmamış bir saldırgan, generate_presentation gibi MCP araçlarını çağırarak kimlik doğrulanmış uygulama eylemleri gerçekleştirebilir, operatörün yapılandırdığı LLM API anahtarlarını tüketebilir ve operatör örneğinde sunumlar oluşturabilir. Electron masaüstü sürümü etkilenmemektedir (MCP devre dışıdır).