Katalog podatności CVE

Xinference (commit 4a94832, v3.x) zawiera nieuwierzytelnioną podatność na odczyt plików o dowolnej ścieżce w punkcie końcowym POST /v1/models/llm/auto-register, który akceptuje parametr model_path dostarczony przez wywołującego bez uwierzytelniania lub ograniczenia ścieżki. Punkt końcowy odczytuje i analizuje pliki config.json, tokenizer_config.json i chat_template.jinja pod podaną ścieżką i odzwierciedla ich zawartość z powrotem do wywołującego, co pozwala nieuwierzytelnionemu atakującemu na przeszukiwanie systemu plików serwera i wyodrębnianie zawartości plików o tych nazwach w dowolnym katalogu.

xiaobei do wersji 5.5.2 nie implementuje uwierzytelniania ani walidacji podpisów na punktach końcowych webhook, co pozwala nieuwierzytelnionym atakującym wstrzykiwać dowolne wiadomości do potoku agenta. Atakujący mogą publikować złośliwe wiadomości przez handler /webhook_worktool i wykorzystywać niewalidowane pobieranie URL mediów do przeprowadzania ataków SSRF na wewnętrzne usługi.

OGX (dawniej Llama Stack, commit fbe8e0f) zawiera nieuwierzytelnioną podatność na fałszerstwo żądań po stronie serwera (SSRF) w punkcie końcowym POST /v1/responses zgodnym z OpenAI. Definicje narzędzi MCP akceptują parametr server_url (wraz z nagłówkami i wartościami autoryzacji), który jest pobierany po stronie serwera bez walidacji miejsca docelowego; istniejąca funkcja validate_url_not_private() używana dla innych adresów URL nie jest stosowana do server_url. W domyślnej konfiguracji startowej, która działa bez uwierzytelniania, zdalny nieuwierzytelniony atakujący może spowodować, że serwer otworzy połączenia z dowolnymi wewnętrznymi adresami (w tym punktami końcowymi metadanych chmury, takimi jak http://169.254.169.254/) i przekazać nagłówki i tokeny bearer dostarczone przez atakującego do tych miejsc docelowych.

Bruno w wersjach do 4.1.0 nie waliduje ścieżek plików w deklaracjach treści żądań, co pozwala atakującym na odczyt dowolnych plików lokalnych przy użyciu segmentów przejścia do katalogu nadrzędnego. Podczas wykonywania kolekcji atakujący może stworzyć żądanie ze ścieżką body:file zawierającą sekwencje ../, które rozwiązują się poza katalogiem kolekcji, powodując odczyt i eksfiltrację dowolnych plików do kontrolowanych przez atakującego punktów końcowych.

Chroma 1.5.9 nie sprawdza maksymalnych granic parametrów indeksu HNSW: max_neighbors, ef_construction i ef_search w żądaniach tworzenia kolekcji. Nieuwierzytelnieni atakujący mogą podać dowolnie duże wartości parametrów, aby wyczerpać pamięć serwera i spowodować odmowę usługi podczas kompakcji indeksu.

Aim 3.29.1 zdalny serwer śledzenia nie uwierzytelnia żądań i wysyła dowolne metody przez getattr bez walidacji listy dozwolonych. Nieuwierzytelnieni atakujący mogą rejestrować klientów, tworzyć zasoby Repo i wywoływać dowolne metody, aby czytać eksperymenty lub usuwać przebiegi.

Marqo 2.26.0 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym add_documents, która pozwala nieuwierzytelnionym atakującym na wywoływanie żądań do dowolnych adresów URL poprzez dostarczenie złośliwych wartości pól media. Atakujący mogą wykorzystać funkcje download_image_from_url i fetch_content_sample, które nie mają filtrowania miejsc docelowych ani walidacji hosta, aby uzyskać dostęp do wewnętrznych usług i punktów końcowych metadanych chmury.

excel-mcp-server 0.1.8 nie egzekwuje ograniczeń ścieżek w trybie stdio, gdy zmienna EXCEL_FILES_PATH nie jest ustawiona, co pozwala atakującym na odczyt i zapis dowolnych plików. Atakujący mogą podawać niesprawdzone ścieżki do narzędzi odczytu i zapisu, aby uzyskać dostęp do dowolnych plików dostępnych dla procesu.

cli-mcp-server 0.2.5 zawiera podatność na ominięcie listy dozwolonych poleceń w funkcji _validate_command_with_operators, gdy włączona jest opcja ALLOW_SHELL_OPERATORS. Atakujący mogą użyć składni podstawiania poleceń powłoki, takiej jak $(...) lub backticks, aby wykonać polecenia spoza listy dozwolonych, które omijają walidację ALLOWED_COMMANDS.

Trigger.dev przed wersją 4.5.2 nie weryfikuje przynależności środowiska podczas operacji ponownego odtwarzania uruchomień, co pozwala uwierzytelnionym atakującym na wstrzykiwanie zadań do dowolnych środowisk. Atakujący mogą odtwarzać własne uruchomienia w środowiskach innych organizacji lub projektów, aby zużywać zasoby ofiary i zanieczyszczać historię uruchomień.

Trigger.dev przed wersją 4.5.2 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w adresach URL dostarczania kanałów alertów webhook, które są pobierane bez walidacji lub ochrony SSRF. Uwierzytelnieni użytkownicy z członkostwem w organizacji mogą tworzyć kanały alertów z adresami URL kierującymi do wewnętrznych usług i punktów końcowych metadanych, umożliwiając serwerowi wysyłanie żądań POST do ograniczonych zasobów.

git-mcp-server 2.15.1 zawiera podatność na wstrzykiwanie argumentów w parametrach ref i object narzędzi git_log, git_diff i git_show, które nie walidują wiodących myślników. Atakujący mogą wstrzykiwać opcje linii poleceń gita, takie jak --output=, aby zapisywać pliki poza repozytorium w dowolnych ścieżkach dostępnych dla procesu.

sift (sift.js) 17.1.3 wylicza klucze zapytań za pomocą pętli for...in, która przechodzi po łańcuchu prototypów, i obsługuje każdy pasujący klucz operatora, w tym $where. Operacja $where kompiluje wartość string do funkcji za pomocą new Function, chyba że ustawiono CSP_ENABLED (domyślnie nie). W rezultacie, jeśli prymityw zanieczyszczenia prototypu w innym miejscu procesu ustawi Object.prototype.$where na złośliwy string, nawet nieszkodliwe wywołania filtrów, takie jak sift({}), wykonają dowolny kod JavaScript. Dodatkowo, przekazanie niezaufanego obiektu zapytania zawierającego string $where bezpośrednio do sift skutkuje wykonaniem kodu w domyślnej konfiguracji.

Blinko 1.8.7 zawiera podatność ujawniania prywatnych notatek między użytkownikami w procedurze noteReferenceList, która nie wykonuje weryfikacji własności na dostarczonych identyfikatorach notatek. Uwierzytelnieni atakujący mogą enumerować sekwencyjne identyfikatory notatek i pobierać pełną treść prywatnych notatek innych użytkowników, w tym załączniki i tagi.

goose 1.37.0 wykonuje dowolne polecenia z rozszerzeń stdio przepisów i retry.checks bez kontroli bezpieczeństwa. Atakujący mogą rozpowszechniać złośliwe przepisy, które wykonują polecenia powłoki jako użytkownik uruchamiający goose, omijając skan bezpieczeństwa przepisów, który nie sprawdza rozszerzeń ani konfiguracji ponowień.

AppFlowy-Cloud do wersji 0.9.64 nie weryfikuje członkostwa w obszarze roboczym podczas ustanawiania połączeń WebSocket w handlerze establish_ws_connection_v2, co pozwala uwierzytelnionym użytkownikom na wiązanie sesji z obszarami roboczymi, do których nie należą. Atakujący mogą wysyłać wiadomości synchronizacji Manifest z identyfikatorami obiektów ofiary, aby odczytać pełny stan dokumentu lub bazy danych z kolaboracji w innych obszarach roboczych bez udziału ofiary.

LobeChat (LobeHub) 2.2.1 nie weryfikuje poprawnie podpisów webhooków przychodzących z platform czatu w adapterach QQ i Feishu. Trasa webhooka (/api/agent/webhooks/:platform) jest z założenia nieuwierzytelniona i deleguje weryfikację do każdego adaptera; adapter QQ nie wykonuje żadnej weryfikacji podpisu Ed25519 na wysyłanych zdarzeniach wiadomości, a adapter Feishu wykonuje tylko opcjonalne porównanie statycznego tokena, które jest pomijane, gdy token nie jest skonfigurowany (domyślnie) i nie jest podpisem treści. Nieuwierzytelniony atakujący, który zna publiczny adres URL webhooka, może wysłać sfałszowane przychodzące wiadomości z tożsamością nadawcy wybraną przez atakującego i dowolnym tekstem, powodując, że agent właściciela bota przetworzy dane kontrolowane przez atakującego i potraktuje atakującego jako zaufanego nadawcę platformy.

Postgres MCP Pro 0.3.0 zawiera podatność na obejście trybu ograniczonego, gdzie walidacja nazw funkcji nie jest stosowana do węzłów RangeFunction w klauzulach FROM. Atakujący mogą wykonywać funkcje odczytu plików, takie jak pg_read_file, przez składnię klauzuli FROM, aby czytać dowolne pliki pomimo ochron trybu ograniczonego.

AppFlowy-Cloud 0.9.64 nie weryfikuje, czy żądane obiekty collab należą do przestrzeni roboczej w kontrolach autoryzacji, co pozwala atakującym na dostęp do dokumentów i wierszy bazy danych w różnych przestrzeniach roboczych. Atakujący mogą podać identyfikator obiektu ofiary z własnym identyfikatorem przestrzeni roboczej, aby ominąć kontrolę dostępu i czytać, modyfikować lub usuwać dane między przestrzeniami roboczymi.

ConvertX 0.17.0 zawiera podatność dowolnego odczytu plików w konwerterze xelatex, która pozwala uwierzytelnionym użytkownikom na odczyt plików poprzez przesyłanie plików LaTeX z dyrektywami input. Atakujący mogą przesyłać pliki .tex zawierające dyrektywy \\input{path} lub \\verbatiminput{path}, aby silnik TeX odczytał dowolne pliki dostępne dla procesu serwera i umieścił je w pobieranym pliku PDF.