CVE-2026-54688 in mcp-searxng
الملخص
بحسب VulDB • 16/09/2026
mcp-searxng هو خادم لبروتوكول سياق النموذج (Model Context Protocol) يمنح مساعدي الذكاء الاصطناعي قدرات البحث في الويب وقراءة عناوين URL من خلال SearXNG. قبل الإصدار 1.2.0، تمرر الدالة web_url_read عنوان URL الذي يحدده المستخدم إلى مسار الاسترجاع على جانب الخادم، بينما تعمل دالة assertUrlAllowed() الموجودة في src/url-reader.ts فقط عند تفعيل المتغير MCP_HTTP_HARDEN، رغم أن هذا المتغير يكون معطلاً افتراضياً في src/http-security.ts. وفي التكوين الافتراضي، يمكن لمهاجم يؤثر على عنوان URL الذي يختاره مستخدم أو وكيل ذكاء اصطناعي إجبار الخادم على جلب موارد من نقاط نهاية محلية (loopback)، أو شبكات خاصة، أو خدمات بيانات السحابة الإلكترونية، وإرجاع محتوياتها إلى سياق النموذج. تظل عناوين URL التي تستخدم بروتوكول file:// مرفوضة، كما أن عمليات تجاوز التحقق من حل اسم النطاق (DNS-resolution) وإعادة التوجيه (redirect-validation) تقع خارج نطاق هذه المشكلة. تم إصلاح هذا العيب في الإصدار 1.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.