CVE-2026-114123
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Serwer D365 F&O MCP to serwer protokołu kontekstowego modelu do wysyłania zapytań o kod i metadane Dynamics 365 Finance & Operations X++. Przed wersją 1.11.0 oficjalnie udokumentowane wdrożenie jednym kliknięciem platformy Azure używa infrastruktury/azuredeploy.json i infrastruktury/main.bicep do domyślnego parametru apiKey na pusty ciąg i przekazania go do ustawienia API_KEY usługi App Service. Gdy API_KEY jest nieustawione lub puste, src/middleware/apiKeyAuth.ts przekazuje żądania bez uwierzytelniania, podczas gdy src/index.ts domyślnie wiąże odbiornik HTTP z 0.0.0.0. Jeśli wdrażający pozostawi opcjonalny klucz pusty i nie doda oddzielnych ograniczeń sieciowych ani uwierzytelniania nadrzędnego, wynikowa publiczna usługa aplikacji zezwala na nieuwierzytelnione narzędzia/żądania połączeń JSON-RPC do /mcp. Ustawienie MCP_SERVER_MODE=tylko do odczytu we wdrożeniu nie uniemożliwia anonimowego dostępu do narzędzi do odczytu/wyszukiwania, w tym wyszukiwania, get_object_info, Batch_get_info, Extension_info, Security_info, find_references i find_event_handlers, ujawniając zaindeksowane zastrzeżone fragmenty źródłowe X++ i metadane. Ujawnione informacje mogą obejmować logikę biznesową, okablowanie rozszerzeń i obsługi zdarzeń, rolę zabezpieczeń i strukturę uprawnień oraz etykiety oryginalnie zaindeksowane z PackagesLocalDirectory. Wdrożenia chronione skonfigurowanym kluczem API, skutecznym uwierzytelnianiem nadrzędnym lub ograniczeniami sieciowymi uniemożliwiającymi dostęp atakującemu nie mieszczą się w scenariuszu nieuwierzytelnionego narażenia. Ten problem został rozwiązany w wersji 1.11.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/dynamics365ninja/d365fo-mcp-server/commit/384394a81e1c6c1e0149586203395240a38fc818
- https://github.com/dynamics365ninja/d365fo-mcp-server/commit/e70bd051f817ebb652d664b10a944fe2c5495de2
- https://github.com/dynamics365ninja/d365fo-mcp-server/releases/tag/v1.11.0
- https://github.com/dynamics365ninja/d365fo-mcp-server/security/advisories/GHSA-8764-fh3m-wf7g
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org