CVE-2026-97228
NiskieCVSS 2.7Streszczenie
Rapid7 Bulk Export MCP w wersjach od 0.2.5 do 0.6.1 jest podatny na injekcję zapytań GraphQL w komponencie statusu eksportu. Wartość 'export_id' jest bezpośrednio wstawiana do zapytania GraphQL, co pozwala na wstrzyknięcie dodatkowych selekcji, takich jak introspekcja schematu, i wysłanie ich do API Rapid7 z użyciem klucza API operatora.
Ocena ryzyka
Podatność nie przyznaje atakującemu dodatkowych uprawnień poza już posiadanymi, ale może zostać wykorzystana przez przejętego klienta MCP lub w wyniku pośredniej injekcji promptów, co może prowadzić do nieautoryzowanego dostępu do danych w ramach uprawnień operatora.
Rekomendacja
Zaktualizować Rapid7 Bulk Export MCP do wersji 0.6.2 lub nowszej, która parametryzuje 'export_id' jako zmienną GraphQL.
Powiązane podatności
- CVE-2026-91107Krytyczne
openSIS Classic 9.3 umożliwia uwierzytelnionemu użytkownikowi z wbudowaną rolą nauczyciela wybranie dowolnego rekordu pracownika przez staff_id i spowodowanie, że ścieżka aktualizacji informacji o szkole zresetuje hasło wybranego konta.
- CVE-2026-21589Krytyczne
Podatność typu Arbitrary File Access w produktach Atlassian (Bitbucket, Confluence, Crowd, Jira, Bamboo, Crucible, Fisheye) pozwala nieuwierzytelnionemu atakującemu na dostęp do konkretnych plików w katalogu głównym aplikacji. Wykorzystanie wymaga wcześniejszej znajomości dokładnej nazwy i ścieżki pliku — nie ma możliwości enumeracji zawartości katalogów. W niektórych konfiguracjach mogą być dostępne wrażliwe pliki, co znacząco zwiększa wagę podatności.
- CVE-2026-105740Krytyczne
Langflow przed wersją 1.9.0 pozwala każdemu uwierzytelnionemu użytkownikowi na zdalne wykonanie kodu (RCE) na serwerze poprzez dodanie serwera MCP z transportem "Stdio". Pole komendy jest przekazywane bezpośrednio do bash -c "exec {command}" bez walidacji, listy dozwolonych komend ani sandboxa. Komenda wykonuje się natychmiast po pobraniu listy serwerów. Dodatkowo pole env pozwala na wstrzyknięcie dowolnych zmiennych środowiskowych (np. LD_PRELOAD, PATH).
- CVE-2026-105697Krytyczne
Langflow przed wersją 1.10.3 uruchamia dowolne polecenia/argumenty podane przez użytkownika w konfiguracji serwera MCP, bez listy dozwolonych i (przed 1.10.3) owinięte w bash -c "exec {command} ...". Każdy użytkownik mający dostęp do ustawień MCP lub budujący przepływ z komponentem MCP Tools może dodać "serwer" z dowolnym poleceniem OS. Polecenie wykonuje się na hoście Langflow jako proces użytkownika Langflow przy próbie połączenia z serwerem. Przy domyślnym LANGFLOW_AUTO_LOGIN=true, GET /api/v1/auto_login wydaje token bez poświadczeń, więc na wystawionej instancji z domyślną konfiguracją jest to osiągalne bez konta. Z wyłączonym AUTO_LOGIN, każdy uwierzytelniony (nie-admin) użytkownik może to wykorzystać.
- CVE-2026-105691Krytyczne
Penpot przed wersją 2.18.0 w eksporcie SVG umieszcza wartość koloru wypełnienia kontrolowanego przez atakującego obiektu tekstowego w ciągu polecenia ppmcolormask i wykonuje go przez child_process.exec. Użytkownik, który może edytować plik, może przechowywać metaznaki powłoki w kolorze wypełnienia i wywołać eksport SVG, powodując wykonanie poleceń z uprawnieniami usługi eksportera. Ten sam eksport może być wywołany przez ważny publiczny link do złośliwego pliku.
- CVE-2026-97283Krytyczne
Wtyczka Advanced Post Manager (od Liquid Web / StellarWP) do WordPressa do wersji 4.5.5 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektów (Object Injection).
- CVE-2026-105641Krytyczne
Plane przed wersją 1.4.0 w manifestach deployments/aio/community/ i deployments/cli/community/ zawiera stałe, publicznie znane domyślne wartości SECRET_KEY i LIVE_SERVER_SECRET_KEY, które pozostają aktywne, gdy operatorzy ich nie nadpiszą. Znajomość SECRET_KEY umożliwia atakującym fałszowanie podpisanych przez Django wartości i kompromitację kont lub sesji. Znajomość LIVE_SERVER_SECRET_KEY omija uwierzytelnianie usługi live na niezmienionych wdrożeniach community.
- CVE-2026-105640Krytyczne
Plane przed wersją 1.4.0 ufa adresom e-mail zwracanym przez Gitea OAuth oraz przez samodzielnie zarządzane wdrożenia GitLab OAuth, gdzie potwierdzenie e-maila jest wyłączone, bez weryfikacji, czy dostawca uwierzytelnił własność adresu. Atakujący może ustawić niezweryfikowany e-mail dostawcy na adres ofiary, który Plane dopasowuje bezpośrednio do istniejącego lokalnego konta ofiary. Atakujący może następnie zalogować się na konto ofiary bez znajomości hasła. GitHub, GitLab.com i Google nie są dotknięte, ponieważ zwracają zweryfikowane adresy e-mail.
- CVE-2026-105639Krytyczne
Plane przed wersją 1.4.0 w procesie rejestracji tworzy zalogowany wiersz User dla każdego przesłanego e-maila bez weryfikacji własności poza pasmem, podczas gdy User.email jest unique=True. Uwierzytelniony użytkownik może wywołać GET /api/users/me/workspaces/invitations/, który zwraca każdą WorkspaceMemberInvite, której e-mail pasuje do request.user.email. WorkSpaceMemberInviteSerializer używa fields = "all", ujawniając token chroniący endpoint dołączania do zaproszenia. Nieuwierzytelniony atakujący znający e-mail ofiary może zarejestrować konto z tym adresem, wyliczyć oczekujące zaproszenia i zaakceptować zaproszenie jako ofiara, dołączając do workspace na zaproszonej roli.
- CVE-2026-105638Krytyczne
Plane przed wersją 1.4.0 w logowaniu przez kod magiczny używa sześciocyfrowego OTP z około 20 bitami entropii. Weryfikator nie ma licznika nieudanych prób na kod, a błędny kod nie zwiększa licznika, nie unieważnia wpisu Redis ani nie blokuje adresu e-mail. Weryfikator rozszerza django.views.View zamiast DRF APIView, więc limit AnonRateThrottle nie ma zastosowania. Stos middleware nie zawiera również ogranicznika szybkości na poziomie Django, takiego jak django-ratelimit, django-axes lub IP-throttling.
Oryginalny opis (angielski, źródło NVD)
Rapid7 Bulk Export MCP versions 0.2.5 through 0.6.1 suffer from a GraphQL query injection issue in the export-status component (`get_export_status` in `src/export_manager.py`), whereby the `export_id` value — an unvalidated MCP tool argument reaching the function via the `check_rapid7_export_status` and `download_rapid7_export` tools — is interpolated directly into the GraphQL query string. A crafted `export_id` containing quote and brace characters can terminate the intended `export(id: "...")` selection early and append attacker-controlled root-level selections (for example, schema introspection), producing a single well-formed GraphQL document that is then sent to the Rapid7 export API under the operator's own API key. Notably, this issue does not grant an existing actor any access they do not already have: every injected query executes within the operator's own already-authenticated API scope, using the operator's own valid API key, and cannot cross a tenant or account boundary. A directly-malicious operator gains nothing they could not already do by calling the API directly; the realistic exposure is limited to a compromised or careless upstream MCP client, or indirect prompt injection forwarding an unvalidated identifier. This is fixed in version 0.6.2, which passes `export_id` as a parameterized GraphQL variable (`$exportId: ID!`).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS