CVE-2026-10274
MediumCVSS 6.3Summary
Wykryto podatność w indrasishbanerjee aem-mcp-server do wersji b5f833aef9b5dfd17a5991b3b18a8a11edbdc583, która dotyczy funkcji getAssetMetadata w pliku src/mcp-server.ts komponentu Axios Request Flow. Manipulacja argumentem assetPath może prowadzić do ataku typu server-side request forgery, który można przeprowadzić zdalnie.
Risk Assessment
Atakujący może wykorzystać tę podatność do przeprowadzenia ataków zdalnych, co może prowadzić do nieautoryzowanego dostępu do zasobów serwera. Publiczne ujawnienie podatności zwiększa ryzyko jej wykorzystania.
Recommendation
Zaleca się natychmiastowe zbadanie i załatanie podatności, a także monitorowanie systemu w celu wykrycia potencjalnych prób ataków. Należy również rozważyć wprowadzenie wersjonowania produktu, aby lepiej zarządzać informacjami o podatnościach.
Original NVD description (English source)
A vulnerability was determined in indrasishbanerjee aem-mcp-server up to b5f833aef9b5dfd17a5991b3b18a8a11edbdc583. This impacts the function getAssetMetadata of the file src/mcp-server.ts of the component Axios Request Flow. Executing a manipulation of the argument assetPath can lead to server-side request forgery. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The project was informed of the problem early through an issue report but has not responded yet.