CVE-2026-53708
ŚrednieCVSS 6.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
ContextForge to brama AI, rejestr i proxy zapewniające scentralizowane odkrywanie, zabezpieczenia i zarządzanie dla API MCP, A2A oraz REST lub gRPC. Przed wersją 1.0.3, miejsce wywołania /admin/gateways/test w mcpgateway/admin.py wywołuje validate_gateway_test_url() w mcpgateway/common/validators.py, aby rozwiązać i odrzucić adresy prywatne, loopback, link-local i cloud-metadata, ale ResilientHttpClient później ponownie rozwiązuje oryginalną nazwę hosta bez wiązania zweryfikowanego adresu. Gdy MCPGATEWAY_ADMIN_API_ENABLED jest włączone, atakujący z rolą w bazie danych zawierającą jawne uprawnienie gateways.read może użyć DNS rebinding, aby zwrócić publiczny adres podczas walidacji i prywatny lub metadata podczas połączenia, omijając ssrf_blocked_networks i ssrf_dns_fail_closed, ponieważ te mechanizmy dotyczą tylko wyniku z czasu walidacji. Ustawienie allow_admin_bypass=False w punkcie końcowym oznacza, że tożsamość wirtualnego administratora tylko z bootstrapem bez roli w bazie danych nie jest wystarczająca. Skuteczna eksploatacja może dotrzeć do wewnętrznych usług i metadanych chmury, ujawnić poświadczenia chmury, uzyskać dostęp do wewnętrznych API lub sondować wewnętrzne porty sieciowe. Problem naprawiono w wersji 1.0.3.
Ocena ryzyka
Atakujący może ominąć zabezpieczenia SSRF i uzyskać dostęp do wewnętrznych zasobów, co może prowadzić do ujawnienia poświadczeń chmury lub naruszenia integralności systemu.
Rekomendacja
Zaktualizuj ContextForge do wersji 1.0.3 lub nowszej.
Powiązane podatności
- CVE-2026-77596Krytyczne
W Kubeflow Pipelines przed wersją 2.18.0 punkty końcowe HTTP do przesyłania pipeline'ów i ich wersji nie wykonują kontroli SubjectAccessReview, gdy docelowa przestrzeń nazw jest pusta, a REQUIRE_NAMESPACE_FOR_PIPELINES domyślnie wynosi false. Użytkownik o niskich uprawnieniach może tworzyć współdzielone pipeline'y lub wstrzykiwać własne wersje do istniejących pipeline'ów bez wymaganych uprawnień zapisu. Jeśli serwer API jest bezpośrednio osiągalny bez proxy uwierzytelniającego, ten sam obejściowy mechanizm może wykorzystać nieuwierzytelniony wywołujący.
- CVE-2026-119757Krytyczne
BTCPay Server przed 2.4.2 (w tym wersje release candidate 2.4.2) zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym zdalnym atakującym pobrać pliki poświadczeń .macaroon dla węzła LND. Ujawniony macaroon umożliwia pełną kontrolę nad węzłem LND, w tym przenoszenie środków, co prowadzi do kradzieży funduszy.
- CVE-2026-111494Krytyczne
Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.
- CVE-2026-111490Krytyczne
W API MatchPoint występuje podatność IDOR polegająca na poleganiu na nagłówku HTTP `actingasuser` bez weryfikacji uprawnień żądającego do wskazanego użytkownika. Manipulacja sekwencyjnymi identyfikatorami umożliwia dostęp do danych osobowych, bankowych i finansowych, prywatnych wiadomości oraz kodów QR do dostępu fizycznego, a także modyfikację kont innych osób, zmianę haseł, podszywanie się i transfer wirtualnych sald.
- CVE-2026-111489Krytyczne
W aplikacji mobilnej MatchPoint osadzono statyczne poświadczenie, które zwraca token 'autorizado'. Zgodnie z raportem token ten zapewnia nieuwierzytelniony dostęp do usług API.
- CVE-2026-85076Krytyczne
W Cronicle przed wersją 0.9.124 uwierzytelniony użytkownik niebędący administratorem z uprawnieniami run_events, create_events lub edit_events może podać nieoczekiwane klucze w parametrach zdarzenia przez api_create_event, api_update_event lub api_run_event. Klucz kolidujący z wrażliwą zmienną środowiskową może nadpisać kontekst wykonania wtyczki i spowodować eskalację uprawnień, wykonanie kodu, dostęp do danych lub zakłócenie usługi.
- CVE-2026-48705Krytyczne
W MONAI przed wersją 1.6.1 funkcja PydicomReader._get_affine() ufa wartościom nieskończonym w polach DICOM PixelSpacing, ImagePositionPatient i ImageOrientationPatient i składa je w macierz afiniczna bez walidacji. Nieuwierzytelniony atakujący mogący przesłać spreparowany plik DICOM do domyślnego wdrożenia MONAILabel może propagować wartości NaN lub nieskończoność, powodując błędy wnioskowania, trwałe zatrucie magazynu danych lub zniekształcone wyniki.
- CVE-2026-46350Krytyczne
W dcmjs przed wersją 0.52.0 implementacje DecimalString i IntegerString w src/ValueRepresentation.js sanityzują tekst permisywnym wyrażeniem regularnym i przekazują wynik do konstruktora Number bez walidacji skończoności i reguł DICOM. Przepełnienie notacji naukowej w polu DS lub IS może dać Infinity lub NaN, a IntegerString akceptuje notację wykładniczą i wartości spoza zakresu 32-bitowego. Aplikacje ufające tym wartościom mogą propagować nieprawidłowe liczby do geometrii, okienkowania, skalowania dawki i rekonstrukcji objętości.
- CVE-2026-116790Krytyczne
FreeSWITCH przed wersją 1.11.2 akceptuje wszystkie testy łączności ICE bez kryptograficznej weryfikacji atrybutu STUN MESSAGE-INTEGRITY. Zdalny atakujący może sfałszować test łączności ICE bez poświadczeń SDP, nominować własny adres i przekierować ruch RTP/DTLS, co umożliwia podsłuchiwanie i wstrzykiwanie mediów na niezaszyfrowanych połączeniach.
- CVE-2026-116785Krytyczne
FreeSWITCH przed wersją 1.11.2 ma błąd w funkcji ws_read_frame(), która dekoduje 64-bitową długość ładunku WebSocket z 32-bitową zamianą bajtów i zawęża wynik do typu signed. Wartość, której dolne słowo staje się ujemne, omija sprawdzenie rozmiaru i jest reinterpretowana jako ogromna liczba unsigned, powodując nadpisanie pamięci poza buforem odbioru 64 KiB. Może to uszkodzić wskaźniki połączeń i spowodować awarię FreeSWITCH, kończąc wszystkie sesje.
Oryginalny opis (angielski, źródło NVD)
ContextForge is an AI gateway, registry, and proxy that provides centralized discovery, guardrails, and management for MCP, A2A, and REST or gRPC APIs. Prior to 1.0.3, the /admin/gateways/test call site in mcpgateway/admin.py calls validate_gateway_test_url() in mcpgateway/common/validators.py to resolve and reject private, loopback, link-local, and cloud-metadata addresses, but ResilientHttpClient later resolves the original hostname again without binding the validated address. When MCPGATEWAY_ADMIN_API_ENABLED is enabled, an attacker with a database-backed role containing explicit gateways.read permission can use DNS rebinding to return a public address during validation and a private or metadata address during connection, bypassing ssrf_blocked_networks and ssrf_dns_fail_closed because those controls apply only to the validation-time result. The endpoint's allow_admin_bypass=False setting means a bootstrap-only virtual platform-admin identity without a database role is not sufficient. Successful exploitation can reach internal services and cloud metadata, expose cloud credentials, access internal APIs, or probe internal network ports. This issue is fixed in version 1.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS