Katalog podatności CVE

Odoo MCP 1.0.0 do 1.3.2 zawiera podatność na ujawnienie informacji, która pozwala klientom MCP ominąć kontrolę dostępu na poziomie pól poprzez narzędzie execute_method. Atakujący lub agenci z wstrzykniętym promptem mogą wywołać read lub search_read przez execute_method, podając nazwy zabronionych pól, aby otrzymać ich wartości bez maskowania.

BotSharp do wersji 5.2.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na sfałszowanie tokenów bearer przy użyciu zakodowanego na stałe klucza Jwt:Key w pliku appsettings.json WebStarter. Atakujący mogą podpisywać tokeny przy użyciu zakomentowanego sekretu HMAC oraz stałych wartości issuer i audience, aby podszyć się pod dowolnego znanego użytkownika, w tym administratora, na trasach API chronionych atrybutem Authorize.

mcp-go do wersji 1.2.1 zawiera podatność odmowy usługi w StreamableHTTPServer.ServeHTTP, która pozwala zdalnym nieuwierzytelnionym atakującym na wyczerpanie pamięci poprzez wysyłanie zbyt dużych treści POST. Atakujący mogą wysyłać dowolnie duże lub wiele równoczesnych żądań POST, które są w pełni odczytywane przez io.ReadAll przed walidacją, co prowadzi do degradacji lub zabicia procesu serwera przez OOM.

Predibase LoRAX do wersji 0.12.1 zawiera podatność na ekspozycję wrażliwych informacji, która zapisuje dostarczony przez wywołującego api_token z treści żądań POST /generate w logach routera. Atakujący mający dostęp do logów routera lub backendów śledzenia OTLP mogą odzyskać tokeny prywatnych adapterów innych użytkowników, zapisane w polu spanu GenerateParameters.

Hugging Face Text Embeddings Inference do wersji 1.9.4 zawiera podatność logowania w postaci jawnego tekstu, która ujawnia skonfigurowany klucz api_key, ponieważ struktura Args routera nie ma atrybutu redact dla tego klucza. Atakujący z dostępem do logów routera, wyjścia kontenera lub telemetrii OTLP mogą odzyskać token Bearer i wywołać chronione punkty końcowe embedding i rerank.

UnicomAI Wanwu do wersji 0.6.5 zawiera podatność na obejście autoryzacji, która pozwala uwierzytelnionym użytkownikom tworzyć AppKeys powiązane z serwerami MCP innych użytkowników przez POST /v1/appspace/app/key. Atakujący podający UUID serwera MCP ofiary z appType mcpserver mogą otwierać sesje MCP i wywoływać narzędzia serwera, używając uwierzytelniania ofiary.

UnicomAI Wanwu do wersji 0.6.5 zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu aktywnemu użytkownikowi odwoływać AppKeys innych użytkowników dla dowolnych aplikacji przez punkt końcowy unpublish. Atakujący mogą podać docelowe appId i appType z marketplace, aby usunąć wiersze api_key innych użytkowników w różnych organizacjach, odcinając dostęp klientów MCP i OpenAPI.

Wanwu przed wersją 0.6.3 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu, która pozwala każdemu uwierzytelnionemu aktywnemu użytkownikowi usuwać AppKeys innych użytkowników przez podanie numerycznego apiId. Atakujący mogą iterować po sekwencyjnych identyfikatorach kluczy w DELETE /v1/appspace/app/key, aby odwołać klucze w różnych organizacjach, przerywając działanie klientów MCP i OpenAPI.

UnicomAI Wanwu przed wersją 0.6.3 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na usuwanie agentów lub aplikacji RAG innych dzierżawców poprzez podanie ich appId. Atakujący mogą wysyłać żądania DELETE /v1/appspace/app z odgadniętymi sekwencyjnymi identyfikatorami asystentów, aby trwale usunąć aplikacje, przepływy pracy, rozmowy i powiązane dane ofiar.

Deep Chat do wersji 2.5.1 zawiera podatność na cross-site scripting, która pozwala atakującym wstrzykiwać linki javascript: ponieważ RemarkableConfig.createNew wyłącza walidację linków Remarkable. Atakujący mogą umieszczać spreparowane linki Markdown w odpowiedziach AI, treści addMessage lub załadowanej historii, aby wykonać skrypt w osadzonej stronie, gdy ofiary je klikną.

phpMyFAQ do wersji 4.1.10 zawiera podatność braku autoryzacji w narzędziu faq_search serwera MCP, która pozwala klientom MCP na odczyt ograniczonych FAQ, ponieważ Search::searchDatabase() nigdy nie stosuje sprawdzeń uprawnień użytkownika lub grupy. Atakujący podłączeni do serwera phpmyfaq:mcp:server mogą wysyłać zapytania, aby uzyskać pełny tekst pytań i odpowiedzi aktywnych FAQ ograniczonych do określonych użytkowników lub grup.

Company Research Agent do wersji 2.2.0 zawiera podatność na server-side request forgery, która pozwala nieuwierzytelnionym atakującym wywoływać żądania wychodzące przez wstrzyknięcie niezmaskowanego znacznika akapitu ReportLab do punktu końcowego /generate-pdf. Atakujący mogą osadzić elementy img w report_content, aby serwer pobierał zasoby z wewnętrznych lub zewnętrznych hostów, ujawniając odpowiedzi obrazów w zwracanych plikach PDF i badając dostępność.

thClaws do wersji 0.141.0 zawiera podatność na podążanie za linkami w handlerze post_inputs API v1 POST /v1/inputs, która pozwala na zapis poza obszarem roboczym przez podążanie za dowiązaniami symbolicznymi. Atakujący, którzy umieszczą dowiązanie symboliczne pod dozwolonym prefiksem inputs/, mogą spowodować, że późniejsze uwierzytelnione przesyłania zapiszą lub obetną pliki poza obszarem roboczym z uprawnieniami demona.

hyper-mcp do wersji 0.8.3 zawiera podatność na nieprawidłową weryfikację podpisu, która pozwala atakującym ładować złośliwe wtyczki WebAssembly, ponieważ cosign_verify_args() domyślnie akceptuje dowolną tożsamość podpisującego i wystawcę OIDC. Atakujący kontrolujący referencję obrazu wtyczki mogą podpisać złośliwy obraz darmowym certyfikatem Sigstore keyless, aby wykonać wtyczki z skonfigurowanymi możliwościami hosta, systemu plików i środowiska.

hyper-mcp do wersji 0.8.3 zawiera podatność na obejście weryfikacji podpisu w load_wasm w src/wasm/oci.rs, która weryfikuje podpis Cosign osobno rozwiązanego tagu, a nie załadowanego manifestu. Atakujący kontrolujący odpowiedzi rejestru dla tagu mogą dostarczyć niepodpisany złośliwy manifest do ładowarki i podpisany do Cosign, wykonując niepodpisane wtyczki WebAssembly z skonfigurowanymi możliwościami hosta.

CoreShop do wersji 2026.2.2 zawiera podatność braku autoryzacji, która pozwala użytkownikom backendu o niskich uprawnieniach na listowanie zasobów z ograniczonym dostępem, ponieważ ResourceController listAction pomija sprawdzenie isGrantedOr403(). Uwierzytelnieni użytkownicy Pimcore bez uprawnień do zasobów mogą żądać wygenerowanych tras list, aby wyliczyć dostawców płatności, przewoźników, reguły cenowe, sklepy i reguły podatkowe, w tym ich identyfikatory, nazwy i identyfikatory.

W zhayujie CowAgent do wersji 2.1.7 odkryto lukę bezpieczeństwa. Dotyczy ona nieznanej funkcji w pliku channel/web/web_channel.py komponentu Web Console. Manipulacja argumentem session_id prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Wersja 2.1.7 (commit dec28324) tylko częściowo łagodzi problem poprzez limit 512MB.

LlamaFarm do wersji 0.0.34 zawiera niezabezpieczoną konfigurację domyślną, która wiąże nieuwierzytelniony serwer FastAPI z adresem 0.0.0.0 na porcie 14345, a CLI lf po cichu ignoruje nadpisania HOST. Atakujący z sąsiedniej sieci mogą wywoływać API zarządzania projektami i zbiorami danych, aby odczytać przechowywane klucze API dostawców, modyfikować projekty, wyzwalać przetwarzanie danych i nieodwracalnie usuwać projekty.

mistral.rs 0.9.0 do 0.9.4 zawiera podatność polegającą na podążaniu za linkami w mistralrs-code-exec, która pozwala kodowi w piaskownicy na odczyt i nadpisanie plików poza piaskownicą poprzez dowiązania symboliczne. Atakujący lub agenci z prompt injection mogą nazwać dowiązania symboliczne jako wyniki lub używać sesji z dowiązanymi ścieżkami wejściowymi, aby uzyskać dostęp do plików z uprawnieniami procesu serwera.

Easy!Appointments do wersji 1.6.0 zawiera podatność obejścia autoryzacji w Booking::register(), która pozwala nieuwierzytelnionym atakującym modyfikować dowolne wizyty, podając identyfikator wizyty bez jej hasha. Atakujący mogą wyliczać kolejne identyfikatory wizyt z samozadeklarowaną flagą manage_mode, aby przepisywać szczegóły wizyt, przypisywać je do kontrolowanych przez siebie klientów oraz uzyskiwać hashe zarządzania do zmiany terminu lub anulowania.