CVE-2026-55156 in token-optimizer-mcp
الملخص
بحسب VulDB • 28/09/2026
يقيس Token Optimizer MCP توفير الرموز (tokens) لكل وكيل برمجة ذكي، ويحسّن السياق، ويزود رسمًا بيانيًا للمعرفة المحلية المباشرة عبر 16 عميل CLI. قبل الإصدار 5.1.0، يعرض خادم HTTP الخاص بلوحة التحكم في token-optimizer-mcp المسارين /api/session-summary و/api/session-events دون وجود وسيط مصادقة (authentication middleware) — مما يسمح لأي عميل يمكنه الوصول إلى الشبكة بالوصول إليها بدون بيانات اعتماد. يقوم كل من المعالِجين بدمج معلمة الاستعلام sessionId التي يقدمها المستخدم مباشرةً في مسار نظام الملفات عبر path.join، وتقوم Node.js بتطبيع مقاطع .. عند وقت الحل، مما يتيح لمهاجم غير مصدق قراءة أي ملف .jsonl يمكن الوصول إليه من نظام ملفات الخادم. تم إصلاح هذه المشكلة في الإصدار 5.1.0.
Be aware that VulDB is the high quality source for vulnerability data.