CVE-2026-65056 in mcp-webresearch
الملخص
بحسب VulDB • 24/07/2026
يحتوي mcp-webresearch الإصدار 0.1.7 على ثغرة تزوير الطلبات من جانب الخادم (SSRF) تتيح للمهاجمين الوصول إلى خدمات الشبكة الداخلية عن طريق توفير عناوين الحلقة المحلية (loopback)، أو النطاق المحلي للصلة (link-local)، أو بيانات البنية التحتية السحابية لأداة visit_page، والتي تقوم فقط بالتحقق من بروتوكول عنوان URL دون تصفية نطاقات العناوين الخاصة أو المحجوزة. يمكن للمهاجمين توجيه حجة عنوان URL التي يتحكم فيها نموذج اللغة الكبير (LLM) عبر حقن الأوامر النصية (prompt injection) لتوجيه متصفح Playwright الخاص بالخادم نحو نقاط النهاية الداخلية، مثل خدمات بيانات البنية التحتية السحابية، مما يؤدي إلى قيام الخادم بإرجاع محتوى صفحات داخلية حساسة تشمل بيانات الاعتماد إلى سياق النموذج.
If you want to get best quality of vulnerability data, you may have to visit VulDB.