CVE-2026-53710
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 65 - wyżej niż 65% wszystkich znanych CVE
Streszczenie
MCP Context Forge to brama AI, rejestr i proxy dla API MCP, A2A, REST i gRPC. Przed wersją 1.0.2 python_sandbox_server w mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py udostępnia surowy getattr przez safe_builtins, pomija wymagany guard _getattr_ i polega na sprawdzeniach validate_code dla literalnych niebezpiecznych ciągów dunder. Atakujący może konstruować nazwy dunder w czasie wykonania, przechodzić przez hierarchię klas Pythona, dotrzeć do subprocess.Popen i wykonywać polecenia systemowe z uprawnieniami procesu serwera poprzez narzędzie execute_code MCP. Transport HTTP/SSE może udostępniać to narzędzie bez uwierzytelniania, podczas gdy wdrożenia tylko stdio mają zmniejszony zasięg sieciowy. Problem dotyczy podprojektu python_sandbox_server i nie wpływa bezpośrednio na komponenty rdzeniowe bramy lub proxy Context Forge. Problem został naprawiony w wersji 1.0.2.
Ocena ryzyka
Podatność pozwala atakującym na wykonanie dowolnych poleceń systemowych z uprawnieniami procesu serwera, co może prowadzić do przejęcia hosta, szczególnie gdy narzędzie jest dostępne bez uwierzytelniania przez HTTP/SSE.
Rekomendacja
Zaktualizuj MCP Context Forge do wersji 1.0.2 lub nowszej, aby naprawić podatność w python_sandbox_server.
Inne podatności w MCP Context Forge
Zobacz wszystkie- CVE-2026-53709Krytyczne
MCP Context Forge to brama MCP i platforma administracyjna. Przed wersją 1.0.2 pliki mcpgateway/config.py i .env.example zawierają znany klucz JWT_SECRET_KEY, a verify_jwt_token() akceptuje tokeny HS256 podpisane tym kluczem, podczas gdy get_current_user() tworzy administratora platformy, gdy podmiot tokenu pasuje do PLATFORM_ADMIN_EMAIL, a REQUIRE_USER_IN_DB jest fałszywe. Zdalny nieuwierzytelniony atakujący może zatem wygenerować akceptowane tokeny administratora bez konta w bazie danych. Dopóki podatny klucz podpisywania pozostaje skonfigurowany, a bootstrap administratora platformy jest włączony, sfałszowany dostęp przetrwa rotację haseł, usunięcie konta i unieważnienie sesji, umożliwiając administracyjne ujawnienie, modyfikację i zakłócenie usługi.
- CVE-2026-53711Średnie
MCP Context Forge w wersjach od 0.2.0 do 0.3.1 przechowuje szablon promptu bez wystarczającego kodowania wyjściowego przed renderowaniem w MCP Admin UI. Uwierzytelniony atakujący może zapisać znaczniki zawierające obsługę zdarzeń skryptowych, które wykonują się, gdy inny użytkownik wyświetli zapisany prompt. Umożliwia to trwały XSS, zmianę interfejsu, phishing, podglądanie klawiszy i działania w sesji przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
MCP Context Forge is an AI gateway, registry, and proxy for MCP, A2A, REST, and gRPC APIs. Prior to 1.0.2, the python_sandbox_server in mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py exposes raw getattr through safe_builtins, omits a required _getattr_ guard, and relies on validate_code checks for literal dangerous dunder strings. An attacker can construct dunder names at runtime, traverse the Python class hierarchy, reach subprocess.Popen, and execute OS commands with the server process privileges through the execute_code MCP tool. The HTTP/SSE transport can expose this tool without authentication, while stdio-only deployments have reduced network reachability. The issue affects the python_sandbox_server subproject and does not directly affect the core Context Forge gateway or proxy components. This issue is fixed in version 1.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS