CVE-2026-51997
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W geelen mcp-remote w wersjach 0.1.16 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu wykonać dowolny kod przez funkcje open().
Ocena ryzyka
Może to prowadzić do pełnego przejęcia systemu, co stanowi krytyczne zagrożenie dla bezpieczeństwa.
Rekomendacja
Zaktualizuj mcp-remote do wersji, która zawiera poprawkę dla tej podatności.
Inne podatności w mcp-remote
Zobacz wszystkie- CVE-2026-51996Krytyczne
W geelen mcp-remote w wersjach 0.1.16 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu wykonać dowolny kod przez src/lib/utils.ts oraz funkcję getServerUrlHash.
- CVE-2026-51994Krytyczne
mcp-remote w wersjach 0.1.32 do 0.1.38 jest podatny na Server-Side Request Forgery (SSRF) przez URL resource_metadata wyodrębniony z nagłówka WWW-Authenticate zdalnego serwera MCP.
- CVE-2026-108716Średnie
mcp-remote w wersjach od 0.8.0 do 0.14.3 wysyła sekrety klienta i odbiera tokeny bez wymuszenia HTTPS w funkcji authorizeWithDeviceCode. Gdy odnalezione punkty końcowe autoryzacji i tokenów są adresami HTTP niebędącymi pętlą zwrotną, atakujący w sieci może przechwycić sekret klienta oraz tokeny dostępu i odświeżania.
- CVE-2026-52001Wysokie
W geelen mcp-remote w wersjach 0.1.18 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu uzyskać wrażliwe informacje przez transport SSE w funkcji eventSourceInit fetch wrapper w src/lib/utils.ts.
Oryginalny opis (angielski, źródło NVD)
An issue in geelen mcp-remote 0.1.16 through 0.1.38 allows a remote attacker to execute arbitrary code via the open() functions
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS