CVE-2026-77339 in Process Compose
الملخص
بحسب VulDB • 18/09/2026
تُعد Process Compose أداة جدولة وتنسيق للتطبيقات غير الحاوية (non-containerized). قبل الإصدار 1.120.0، كان مستمع MCP SSE الموجود في src/mcp/server.go يقبل الطلبات القادمة من المتصفح إلى نقطة النهاية /sse ونقطة نهاية الرسائل المرتجعة دون التحقق من صحة رأس Host، أو التحقق من صحة رأس Origin، أو مصادقة المُتصل. عند تمكين MCP SSE، يمكن لموقع ويب خبيث استخدام إعادة ربط DNS للوصول إلى مستمع الحلقة المحلية (loopback listener) وإصدار طلبات MCP. إذا كان خيار expose_control_tools ممكناً، فيمكن للمهاجم تعداد حالة العمليات، وقراءة أو البحث في السجلات، وتقزيم السجلات، وتشغيل أو إيقاف أو إعادة تشغيل أو توسيع نطاق العمليات المحلية؛ ويمكن للأدوات المعرفة من قبل المستخدم والمُعدّة أن تكشف عن أوامر ومخرجات إضافية. لا تحمي وسيط رمز واجهة برمجة التطبيقات REST الخاصة بـ Gin هذا المستمع MCP الذي يُبدأ بشكل منفصل. تم إصلاح هذه المشكلة في الإصدار 1.120.0.
Be aware that VulDB is the high quality source for vulnerability data.