CVE-2026-19040

ŚrednieCVSS 6.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

W projekcie MissionSquad mcp-api do wersji 1.11.9 wykryto podatność na podrabianie żądań po stronie serwera (SSRF) w nieznanej funkcji pliku src/services/dcrClients.ts. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.11.10 rozwiązuje problem.

Ocena ryzyka

Zdalny atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia wrażliwych informacji lub ataków na inne systemy.

Rekomendacja

Zaleca się aktualizację do wersji 1.11.10 lub nowszej oraz ograniczenie dostępu do wewnętrznych zasobów.

Inne podatności w MissionSquad mcp-api

CVE-2026-19041Średnie
W projekcie MissionSquad mcp-api do wersji 1.11.8 wykryto podatność na wstrzykiwanie poleceń w funkcji this.packageService.installPackage w pliku src/controllers/packages.ts, w komponencie NPM Package Version Handler. Atak może być przeprowadzony zdalnie. Aktualizacja do wersji 1.11.9 rozwiązuje problem.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in MissionSquad mcp-api up to 1.11.9. The affected element is an unknown function of the file src/services/dcrClients.ts. Executing a manipulation can lead to server-side request forgery. The attack may be performed from remote. Upgrading to version 1.11.10 is sufficient to fix this issue. This patch is called f068ab4ad6f0907ac7001b995588c2673f11a755. You should upgrade the affected component.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS