CVE-2026-5607
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W imprvhub mcp-browser-agent do wersji 0.8.0 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji CallToolRequestSchema pliku src/handlers.ts. Manipulacja argumentami request.params.name i request.params.arguments prowadzi do SSRF. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący zdalnie może wysyłać żądania do wewnętrznych zasobów sieciowych, omijając zapory i uzyskując dostęp do poufnych danych lub usług.
Rekomendacja
Należy natychmiast zaktualizować mcp-browser-agent do wersji powyżej 0.8.0 lub zastosować dostępne łatki. Jeśli nie jest to możliwe, ograniczyć dostęp do komponentu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in imprvhub mcp-browser-agent up to 0.8.0. This impacts the function CallToolRequestSchema of the file src/handlers.ts of the component URL Parameter Handler. The manipulation of the argument request.params.name/request.params.arguments leads to server-side request forgery. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.