CVE-2026-30618
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W aplikacji xszyou Fay 4.3.1 wykryto podatność zdalnego wykonania kodu w mechanizmie zarządzania serwerem MCP STDIO i obsługi poleceń. Zdalny atakujący może uzyskać dostęp do publicznie wystawionego interfejsu zarządzania MCP i skonfigurować serwer MCP STDIO z kontrolowanymi przez siebie poleceniami i parametrami, co prowadzi do wykonania dowolnych poleceń na serwerze.
Ocena ryzyka
Udane wykorzystanie podatności pozwala na wykonanie dowolnych poleceń w kontekście usługi Fay, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować xszyou Fay do najnowszej wersji, a jeśli to niemożliwe, ograniczyć dostęp do interfejsu zarządzania MCP tylko do zaufanych sieci lub wyłączyć go.
Oryginalny opis (angielski, źródło NVD)
xszyou Fay 4.3.1 contains a remote code execution vulnerability in its MCP STDIO server management and command execution handling. A remote attacker can access the publicly exposed MCP management interface and configure an MCP STDIO server with attacker-controlled commands and parameters, resulting in execution of arbitrary commands on the server. Successful exploitation allows arbitrary command execution within the context of the Fay service.