CVE-2026-15750
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W bibliotece mastergo-magic-mcp do wersji 0.2.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF). Problem występuje w funkcji z.string w pliku src/tools/get-component-link.ts, gdzie manipulacja argumentem url może prowadzić do wysłania żądania do dowolnego zasobu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub eskalacji ataku na inne systemy.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę mastergo-magic-mcp do wersji nowszej niż 0.2.0, jeśli taka istnieje, lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie adresów URL i ograniczenie dostępu do wrażliwych zasobów.
Inne podatności w mastergo-magic-mcp
Zobacz wszystkie- CVE-2026-15751Średnie
W projekcie mastergo-design mastergo-magic-mcp do wersji 0.2.0 wykryto podatność w funkcji execute pliku mastergo/component-workflow.md komponentu mcp__getComponentGenerator. Manipulacja argumentem rootPath prowadzi do path traversal, co umożliwia dostęp do plików poza zamierzonym katalogiem. Atak wymaga dostępu lokalnego, a exploit został już opublikowany.
- CVE-2026-15749Średnie
W projekcie mastergo-design mastergo-magic-mcp do wersji 0.2.0 wykryto podatność na przejście ścieżki (path traversal) w funkcji execute pliku src/tools/get-c2d.ts komponentu mcp__C2d. Atak wymaga lokalnego dostępu i manipulacji argumentem filePath. Exploit został opublikowany, a projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in mastergo-design mastergo-magic-mcp up to 0.2.0. Impacted is the function z.string of the file src/tools/get-component-link.ts of the component mcp__getComponentLink. Executing a manipulation of the argument url can lead to server-side request forgery. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.