CVE-2026-74842
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność znaleziona w Kira-Pgr PromptShopMCP do wersji 5bc0cd17358e19a5415d11a531088170d7b81452. Dotyczy funkcji download_image w pliku server.py komponentu Image-Toolkit-MCP-Server. Manipulacja argumentem image_url prowadzi do podatności na request forgery po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Produkt używa modelu ciągłych aktualizacji, więc konkretne informacje o wersjach nie są dostępne. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Atakujący może wykorzystać serwer do wykonywania żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia wrażliwych informacji lub ataków na inne systemy.
Rekomendacja
Ogranicz dostęp do funkcji download_image, waliduj argument image_url i monitoruj ruch sieciowy pod kątem podejrzanych żądań.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Kira-Pgr PromptShopMCP up to 5bc0cd17358e19a5415d11a531088170d7b81452. Affected is the function download_image of the file server.py of the component Image-Toolkit-MCP-Server. Performing a manipulation of the argument image_url results in server-side request forgery. The attack may be initiated remotely. The exploit has been made public and could be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The project was informed of the problem early through an issue report but has not responded yet.