CVE-2026-14869
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W terraform-mcp-server przed wersją 1.1.0 występuje podatność na fałszowanie żądań po stronie serwera (SSRF) w transporcie streamable-HTTP. Nieuwierzytelniony zdalny klient może przekierować żądania API Terraform serwera oraz token autoryzacyjny do kontrolowanego przez atakującego punktu końcowego.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych serwera oraz przechwycić token autoryzacyjny, co może prowadzić do nieautoryzowanego dostępu do API Terraform.
Rekomendacja
Należy natychmiast zaktualizować terraform-mcp-server do wersji 1.1.0 lub nowszej.
Inne podatności w terraform-mcp-server
Zobacz wszystkie- CVE-2026-16498Krytyczne
Terraform-mcp-server przed wersją 1.1.0 jest podatny na problem ponownego użycia poświadczeń między dzierżawcami w trybie streamable-HTTP. Pozwala to na użycie tokena Terraform jednego użytkownika do wykonywania wywołań narzędzi w imieniu kolejnych użytkowników.
- CVE-2026-16496Wysokie
W terraform-mcp-server przed wersją 1.1.0 występuje podatność na obejście autoryzacji w trybie transportu streamable-HTTP. Użytkownik, który zdobędzie identyfikator sesji MCP innego użytkownika, może wykonywać wywołania narzędzi przy użyciu poświadczeń Terraform tego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The terraform-mcp-server before version 1.1.0 is vulnerable to a server-side request forgery issue in the streamable-HTTP transport that may allow an unauthenticated remote client to redirect the server's Terraform API requests, and the server-side authorization token, to an attacker-controlled endpoint. This vulnerability, CVE-2026-14869, is fixed in terraform-mcp-server 1.1.0.