CVE-2026-105797
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
SimpleChat to bezpieczna aplikacja do konwersacji AI z osobistymi i grupowymi obszarami roboczymi do interakcji opartych na dokumentach. W wersjach 0.261.003 i 0.261.027 błąd w porządkowaniu autoryzacji w POST /api/user/plugins umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach pominięcie typu MCP najwyższego poziomu, tak że _reject_non_admin_mcp_stdio pomija kontrolę przed przywróceniem typu z metadanych. Zapisana akcja osobista może następnie dotrzeć do pliku McpPluginFactory.create_connector, a plik MCPStdioPlugin.connect uruchamia wybrany przez osobę atakującą proces systemu operacyjnego w ramach tożsamości usługi aplikacji po wywołaniu narzędzia akcji. Eksploatacja wymaga włączenia osobistych wtyczek i zarządzania zezwalającego na działania MCP, a także może ujawnić lub zmodyfikować tajemnice i dane dostępne dla usługi lub zakłócić działanie usługi. Ten problem został rozwiązany w wersji 0.261.031.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org