CVE-2026-77321
Açıklama
TREK, iş birlikli bir seyahat planlayıcıdır. 3.3.0 sürümünden önce, server/src/mcp/tools/trips.ts dosyasındaki get_trip_summary aracı, trips:read yetkisi gerektirmeden kapsamlı OAuth MCP belirteçleri için kaydedilmiştir ve devredilen kapsamlardan bağımsız olarak temel gezi özeti verilerini döndürmektedir. Yalnızca weather:read gibi ilgisiz bir yetkiye sahip olan bir belirteç; gezi meta verilerini, server/src/services/tripService.ts üzerinden üye e-posta adreslerini, güzergah günlerini ve belirtecin kullanıcısı tarafından erişilebilen her gezi için konaklama bilgilerini alabilir. Kullanıcılar arası gezi yetkilendirmesi uygulanmaya devam etmektedir ancak eksik kapsam kontrolü, onaylanmış en düşük ayrıcalık sınırını ortadan kaldırmakta ve gezi içeriği ile üçüncü taraf iletişim bilgilerini, bunları okumaya yetkili olmayan bir MCP istemcisine ifşa etmektedir. Bu sorun 3.3.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mauriceboe TREK | < 3.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.