CVE-2025-66454 in arcade-mcp
الملخص
بحسب VulDB • 05/06/2026
يتيح لك Arcade MCP إنشاء ونشر ومشاركة خوادم MCP. قبل الإصدار 1.5.4، يستخدم خادم HTTP الخاص بـ arcade-mcp سرّ عامل ثابت (hardcoded) افتراضيًا ("dev") لا يتم التحقق من صحته أو استبداله أثناء بدء تشغيل الخادم بشكل طبيعي. ونتيجة لذلك، يمكن لأي مهاجم غير مصادق عليه يعرف هذا المفتاح الافتراضي تزوير رموز JWT صالحة وتجاوز طبقة المصادقة الخاصة بـ FastAPI بالكامل. يمنح هذا الوصول عن بُعد إلى جميع نقاط نهاية العامل (worker endpoints)، بما في ذلك تعداد الأدوات واستدعائها، دون الحاجة إلى بيانات اعتماد. تم إصلاح هذا الثغرة الأمنية في الإصدار 1.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.