CVE-2026-97228
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wersje MCP Rapid7 Bulk Export od 0.2.5 do 0.6.1 zawierają problem z wstrzykiwaniem zapytań GraphQL do komponentu statusu eksportu („get_export_status” w `src/export_manager.py`), przez co wartość `export_id` jest niezweryfikowanym argumentem narzędzia MCP docierającym do funkcji za pośrednictwem narzędzi `check_rapid7_export_status` i `download_rapid7_export` — jest interpolowany bezpośrednio do ciągu zapytania GraphQL. Stworzony `export_id` zawierający znaki cudzysłowu i nawiasów klamrowych może zakończyć zamierzony wybór `export(id: "...")` wcześniej i dołączyć wybory na poziomie root kontrolowane przez atakującego (na przykład introspekcja schematu), tworząc pojedynczy dobrze sformułowany dokument GraphQL, który jest następnie wysyłany do API eksportu Rapid7 pod własnym kluczem API operatora.
W szczególności ten problem nie zapewnia istniejącemu aktorowi żadnego dostępu, którego jeszcze nie posiada: każde wprowadzone zapytanie jest wykonywane w ramach własnego, już uwierzytelnionego zakresu interfejsu API operatora, przy użyciu własnego prawidłowego klucza interfejsu API operatora i nie może przekroczyć granicy dzierżawy ani konta. Bezpośrednio złośliwy operator nie zyskuje nic, czego nie mógłby już zrobić, wywołując bezpośrednio interfejs API; realistyczne narażenie ogranicza się do skompromitowanego lub nieostrożnego klienta MCP wyższego szczebla lub pośredniego natychmiastowego wstrzyknięcia polegającego na przekazaniu niezweryfikowanego identyfikatora. Zostało to naprawione w wersji 0.6.2, która przekazuje `export_id` jako sparametryzowaną zmienną GraphQL (`$exportId: ID!`).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org