CVE-2026-77339
Açıklama
Process Compose, konteynerleştirilmemiş uygulamalar için bir zamanlayıcı ve orkestratördür. 1.120.0 sürümünden önce, src/mcp/server.go içindeki MCP SSE dinleyicisi, Host başlığını doğrulamadan, Origin başlığını kontrol etmeden veya çağrıyı yapan kişiyi kimlik doğrulamadan /sse adresine ve dönen mesaj uç noktasına gelen tarayıcı kaynaklı istekleri kabul etmektedir. MCP SSE etkinleştirildiğinde, kötü niyetli bir web sitesi DNS rebinding yöntemini kullanarak loopback dinleyiciye erişebilir ve MCP istekleri gönderebilir. Eğer expose_control_tools etkinse, saldırgan işlem durumlarını listeleyebilir, günlükleri okuyabilir veya arayabilir, günlükleri kırpabilir ve yerel işlemleri başlatabilir, durdurabilir, yeniden başlatabilir veya ölçeklendirebilir; yapılandırılmış kullanıcı tanımlı araçlar ek komutlar ve çıktılar sunabilir. Gin REST API token ara yazılımı, ayrı olarak başlatılan bu MCP dinleyicisini korumamaktadır. Bu sorun 1.120.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/f1bonacc1/process-compose1.120.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/f1bonacc1/process-composeGo | v < 1.120.0 | 1.120.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.