CVE-2026-16498
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Terraform-mcp-server przed wersją 1.1.0 jest podatny na problem ponownego użycia poświadczeń między dzierżawcami w trybie streamable-HTTP. Pozwala to na użycie tokena Terraform jednego użytkownika do wykonywania wywołań narzędzi w imieniu kolejnych użytkowników.
Ocena ryzyka
Atakujący może przejąć sesję innego użytkownika i wykonywać operacje Terraform w jego imieniu, co prowadzi do nieautoryzowanego dostępu do infrastruktury i potencjalnych naruszeń bezpieczeństwa.
Rekomendacja
Zaktualizuj terraform-mcp-server do wersji 1.1.0 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Oryginalny opis (angielski, źródło NVD)
The terraform-mcp-server before version 1.1.0 is vulnerable to a cross-tenant credential reuse issue in the streamable-HTTP stateless transport mode that may allow one user's Terraform token to be used to execute tool calls on behalf of subsequent users. This vulnerability, CVE-2026-16498, is fixed in terraform-mcp-server 1.1.0.