CVE-2026-81101
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Polecenie configure akceptowało dowolny adres URL punktu końcowego i przechowywało go obok tokena dostępu użytkownika. ConfigureCommand.execute w src/cli.ts zapisywał wartość podaną dla opcji endpoint do profilu użytkownika bez przepuszczania jej przez createSafeUrl w src/config.ts, czyli pomocnika, który już ograniczał formę zmiennej środowiskowej tego samego ustawienia do hostów dostawcy przez HTTPS. Ponieważ ścieżka connect w src/mcp.ts dołącza przechowywany token jako poświadczenie Bearer do każdego żądania do skonfigurowanego punktu końcowego, użytkownik, który został przekonany do uruchomienia configure z punktem końcowym wybranym przez atakującego, wysyłał swój osobisty token dostępu do tego miejsca przy każdym kolejnym wywołaniu. Wersja 0.2.5 stosuje ten sam pomocnik do opcji.
Ocena ryzyka
Ryzyko polega na wycieku osobistego tokena dostępu do złośliwego serwera, co może prowadzić do nieautoryzowanego dostępu do konta użytkownika i danych.
Rekomendacja
Zaleca się aktualizację do wersji 0.2.5 lub nowszej, która stosuje walidację URL, oraz natychmiastową rotację tokenów, jeśli mogły zostać ujawnione.
Oryginalny opis (angielski, źródło NVD)
The configure command accepted any endpoint URL and stored it beside the user's access token. ConfigureCommand.execute in src/cli.ts persisted the value given to its endpoint option into the user profile without passing it through createSafeUrl in src/config.ts, the helper that already restricted the environment-variable form of the same setting to the vendor's own hosts over HTTPS. Because the connect path in src/mcp.ts attaches the stored token as a bearer credential on every request to the configured endpoint, a user who was persuaded to run configure with an endpoint of the attacker's choosing sent their personal access token to that destination on each subsequent invocation. Version 0.2.5 applies the same helper to the option.