CVE-2025-66335

ŚrednieCVSS 5.3

Opublikowano: 20/04/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Apache Doris MCP Server przed wersją 0.6.1 ma podatność na nieprawidłową neutralizację w obsłudze kontekstu zapytań, co może pozwolić na wykonanie niezamierzonych instrukcji SQL oraz obejście walidacji zapytań i ograniczeń dostępu przez interfejs MCP.

Ocena ryzyka

Atakujący może wykonywać nieautoryzowane zapytania SQL, co może prowadzić do naruszenia integralności danych lub nieautoryzowanego dostępu do danych.

Rekomendacja

Zaktualizuj Apache Doris MCP Server do wersji 0.6.1 lub nowszej.

Inne podatności w Apache Doris MCP Server

CVE-2025-66336Wysokie
Serwer Apache Doris MCP zawiera podatność na wstrzykiwanie SQL w ścieżce zapytań metadanych. Nazwa bazy danych kontrolowana przez użytkownika jest bezpośrednio interpolowana do zapytania SQL, a zapytanie jest wykonywane bez kontekstu autoryzacji wywołującego. Może to pozwolić uwierzytelnionemu atakującemu lub anonimowemu atakującemu (jeśli uwierzytelnianie jest wyłączone) na ominięcie walidacji bezpieczeństwa SQL i dostęp do metadanych poza zakresem docelowej bazy danych.

Oryginalny opis (angielski, źródło NVD)

Apache Doris MCP Server versions earlier than 0.6.1 are affected by an improper neutralization flaw in query context handling that may allow execution of unintended SQL statements and bypass of intended query validation and access restrictions through the MCP query execution interface. Version 0.6.1 and later are not affected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS