CVE-2026-19984
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W bibliotece mcp-florence2 do wersji 0.3.13 wykryto podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji get_images pliku src/mcp_florence2/__init__.py. Manipulacja argumentem src umożliwia zdalne zainicjowanie ataku. Opublikowano exploit, a producent zaleca zmianę konfiguracji, np. użycie proxy bezpiecznego dla SSRF.
Ocena ryzyka
Atakujący może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszej kompromitacji systemu.
Rekomendacja
Zaleca się skonfigurowanie serwera proxy bezpiecznego dla SSRF i przekierowanie przez nie wszystkich żądań HTTP(S) oraz aktualizację konfiguracji zgodnie z zaleceniami producenta.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in jkawamoto mcp-florence2 up to 0.3.13. Affected by this issue is the function get_images of the file src/mcp_florence2/__init__.py. This manipulation of the argument src causes server-side request forgery. The attack may be initiated remotely. The exploit has been published and may be used. It is recommended to change the configuration settings. The vendor explains: "For deployments where SSRF protection is required, I recommend routing all HTTP(S) requests through an SSRF-safe proxy server. This approach mitigates the vulnerability without requiring changes to the mcp-florence2 source code."