CVE-2026-53711
ŚrednieCVSS 5.1Streszczenie
MCP Context Forge w wersjach od 0.2.0 do 0.3.1 przechowuje szablon promptu bez wystarczającego kodowania wyjściowego przed renderowaniem w MCP Admin UI. Uwierzytelniony atakujący może zapisać znaczniki zawierające obsługę zdarzeń skryptowych, które wykonują się, gdy inny użytkownik wyświetli zapisany prompt. Umożliwia to trwały XSS, zmianę interfejsu, phishing, podglądanie klawiszy i działania w sesji przeglądarki ofiary.
Ocena ryzyka
Atakujący może wykonać skrypt w przeglądarce innego użytkownika, przejąć sesję, wyświetlić fałszywe treści lub wykraść dane. Ryzyko dotyczy wszystkich użytkowników MCP Admin UI.
Rekomendacja
Zaktualizuj MCP Context Forge do wersji 0.3.1 lub nowszej. Do czasu aktualizacji ogranicz dostęp do funkcji Global Prompts i przeglądaj zapisane prompty.
Inne podatności w MCP Context Forge
Zobacz wszystkie- CVE-2026-53709Krytyczne
MCP Context Forge to brama MCP i platforma administracyjna. Przed wersją 1.0.2 pliki mcpgateway/config.py i .env.example zawierają znany klucz JWT_SECRET_KEY, a verify_jwt_token() akceptuje tokeny HS256 podpisane tym kluczem, podczas gdy get_current_user() tworzy administratora platformy, gdy podmiot tokenu pasuje do PLATFORM_ADMIN_EMAIL, a REQUIRE_USER_IN_DB jest fałszywe. Zdalny nieuwierzytelniony atakujący może zatem wygenerować akceptowane tokeny administratora bez konta w bazie danych. Dopóki podatny klucz podpisywania pozostaje skonfigurowany, a bootstrap administratora platformy jest włączony, sfałszowany dostęp przetrwa rotację haseł, usunięcie konta i unieważnienie sesji, umożliwiając administracyjne ujawnienie, modyfikację i zakłócenie usługi.
- CVE-2026-53710Krytyczne
MCP Context Forge to brama AI, rejestr i proxy dla API MCP, A2A, REST i gRPC. Przed wersją 1.0.2 python_sandbox_server w mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py udostępnia surowy getattr przez safe_builtins, pomija wymagany guard _getattr_ i polega na sprawdzeniach validate_code dla literalnych niebezpiecznych ciągów dunder. Atakujący może konstruować nazwy dunder w czasie wykonania, przechodzić przez hierarchię klas Pythona, dotrzeć do subprocess.Popen i wykonywać polecenia systemowe z uprawnieniami procesu serwera poprzez narzędzie execute_code MCP. Transport HTTP/SSE może udostępniać to narzędzie bez uwierzytelniania, podczas gdy wdrożenia tylko stdio mają zmniejszony zasięg sieciowy. Problem dotyczy podprojektu python_sandbox_server i nie wpływa bezpośrednio na komponenty rdzeniowe bramy lub proxy Context Forge. Problem został naprawiony w wersji 1.0.2.
Oryginalny opis (angielski, źródło NVD)
MCP Context Forge provides an MCP Admin UI for managing gateway resources. From 0.2.0 until 0.3.1, the Global Prompts feature stores a prompt template without sufficient output encoding before the MCP Admin UI renders it. An authenticated attacker can save markup containing script-capable event handlers, and the code executes when another user views the saved prompt. The stored cross-site scripting can alter the interface, present phishing content, observe keystrokes available to the page, and act with the viewer's browser session. This issue is fixed in version 0.3.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS