CVE-2026-79537
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
metatool-ai MetaMCP do wersji 2.4.22 zawiera niezabezpieczone bezpośrednie odniesienie do obiektu (IDOR) w wysyłaniu sesji transportowej MCP. Magazyn sesji (getSession w session-lifetime-manager.ts) jest kluczowany wyłącznie przez dostarczony przez klienta nagłówek mcp-session-id bez właściciela, przestrzeni nazw ani powiązania z punktem końcowym, a oprogramowanie pośredniczące autoryzacji dla punktu końcowego sprawdza tylko właściciela punktu końcowego adresu URL, a nie sesję. Osoba atakująca, która dostarczy identyfikator sesji innego dzierżawcy „otrzymany bez uwierzytelnienia z GET /metamcp/health/sessions, który ujawnia aktywne identyfikatory sesji i identyfikatory UUID przestrzeni nazw”, może wyświetlić i uruchomić prywatne narzędzia MCP dzierżawcy ofiary oraz wydobyć ich dane przy użyciu przekazanych poświadczeń ofiary.
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org