CVE-2026-58497 in Uni-CLI
الملخص
بحسب VulDB • 23/10/2026
توفر Uni-CLI واجهة سطر أوامر موحدة للمستخدمين والوكلاء للتعامل مع المواقع الإلكترونية، والمتصفحات، وتطبيقات سطح المكتب، والأدوات المحلية، وMCP. قبل الإصدار 0.225.2، كانت Uni-CLI تعرض بروتوكول النقل القديم لـ MCP عبر JSON-RPC على HTTP باستخدام واجهة التكرار المحلي (loopback) دون التحقق من رؤوس Origin الخاصة بالمتصفح قبل توجيه الطلبات. يمكن لصفحة ويب خبيثة إرسال طلب POST بسيط يتوافق مع CORS، مثل text/plain، إلى نقطة النهاية المحلية /mcp وتقديم جسم يحتوي على بيانات JSON-RPC إلى الموزع (dispatcher). إذا كان المستخدم قد بدأ بروتوكول النقل المحلي لـ MCP عبر HTTP، فإن هذه الصفحة могла توجيه طلبات أدوات/استدعاء (tools/call) ضد خادم Uni-CLI المحلي الخاص بالمستخدم. كان بروتوكول النقل Streamable HTTP يفرض بالفعل هذا الحد الفاصل بين المتصفح واللوكل هوست (localhost). أما المسار القديم غير الحالة في HTTP فلم يكن يفعل ذلك، مما أدى إلى انحراف البروتوكولين عن بعضهما البعض. يتعلق هذه المشكلة بالحد الفاصل بين المتصفح واللوكل هوست؛ ولا تغير نموذج الثقة لتنفيذ الكود المحلي الخاص بـ Uni-CLI. تم إصلاح هذه المشكلة في الإصدار 0.225.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.