CVE-2026-54446

WysokieCVSS 8.1

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.62%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

W NetLicensing MCP Server przed wersją 0.1.6 żądania HTTP do /mcp bez klucza API przechodzą przez ApiKeyMiddleware bez uwierzytelnienia. Następnie używany jest klucz API operatora, co pozwala nieuwierzytelnionemu atakującemu wywoływać narzędzia MCP i wykonywać operacje na obiektach licencyjnych, w tym destrukcyjne usuwanie.

Ocena ryzyka

Nieuwierzytelniony atakujący może wyliczać produkty, licencje i transakcje oraz tworzyć, modyfikować lub usuwać obiekty licencyjne w imieniu operatora. Może to prowadzić do poważnych naruszeń integralności i dostępności systemu licencyjnego.

Rekomendacja

Zaktualizuj NetLicensing MCP Server do wersji 0.1.6 lub nowszej. Do czasu aktualizacji ogranicz dostęp sieciowy do endpointu /mcp oraz zweryfikuj konfigurację uwierzytelniania.

Inne podatności w NetLicensing MCP Server

CVE-2026-57496Krytyczne
NetLicensing MCP Server to interfejs naturalnego języka umożliwiający aplikacjom agentowym zarządzanie cyklem życia licencji w Labs64 NetLicensing. Przed wersją 0.1.8 funkcja netlicensing_get_product przekazuje kontrolowany przez wywołującego parametr product_number do src/netlicensing_mcp/tools/products.py, który wstawia go do ścieżki REST bez walidacji segmentu ścieżki. Segment traversal może zostać znormalizowany ze ścieżki produktu do endpointu /token, omijając zabezpieczenia redact_token_read() dla pól APIKEY number i SHOP shopURL. Uwierzytelniony klient MCP z nieadministracyjnym kluczem API może odczytać wartości tokenów w postaci jawnej, a odzyskany token administracyjny może zapewnić szeroki dostęp do odczytu, zapisu i usuwania konta NetLicensing. Problem naprawiono w wersji 0.1.8.

Oryginalny opis (angielski, źródło NVD)

NetLicensing MCP Server is a natural-language interface that enables agentic applications to manage the software-licensing lifecycle in Labs64 NetLicensing. Prior to 0.1.6, network-reachable HTTP transport requests to /mcp that omit x-netlicensing-api-key, Authorization: Bearer, and the apikey query parameter pass through ApiKeyMiddleware in src/netlicensing_mcp/server.py without authentication. The downstream api_key_ctx in src/netlicensing_mcp/client.py then falls back to the operator's NETLICENSING_API_KEY and authenticates upstream NetLicensing REST API calls under the operator account. An unauthenticated attacker can invoke MCP tools to enumerate products, licenses, licensees, and transactions, create or modify licensing objects, perform validations, and execute destructive delete operations. The issue affects HTTP deployments configured with a server-side key and does not require user interaction. This issue is fixed in version 0.1.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS