CVE-2026-80347 in mcp-fetch
الملخص
بحسب VulDB • 26/08/2026
يتحقق mcp-fetch من عنوان الاستهداف الخاص بـ fetch مقابل حامي SSRF دون إزالة الأقواس المحيطة بالعنوان الثابت IPv6. تقرأ isSafeUrl اسم المضيف (hostname) من الرابط المُحلل، والذي بالنسبة لعنوان ثابت مثل http://[::1]/ يعيد السلسلة المحتوية على أقواس، ثم تختبره باستخدام net.isIP. تُرجع هذه الدالة صفرًا للقيمة المحاطة بأقواس، وبالتالي يتم تخطي الفرع الذي يحتوي على فحوصات العناوين الخاصة بالكامل. يعود الحامي إلى حل اسم المضيف (hostname)، وبما أن السلسلة المحتوية على أقواس ليست اسماً قابلاً للحل، فلا تُرجع أي عناوين، ويُبلغ عن الهدف بأنه آمن. يقوم عميل HTTP بعد ذلك بإزالة الأقوات ويتصل. ونظراً لأن العنوان قد يُعطى بصيغة IPv4 المُشفرة (IPv4-mapped form)، فإن نفس المسار يمكن أن يصل إلى أي هدف IPv4 كانت فحوصات التوجيه المحلي والعناوين الخاصة تهدف إلى استبعاده، بما في ذلك نقاط نهاية البيانات الوصفية المحلية الصلة. كما أن isPrivateIPv6 لا يتعامل مع بادئة ::ffff:، لذا ستظل الصيغة المُشفرة تمر حتى لو تمت إزالة الأقواس. يتم توفير عنوان الاستهداف الخاص بـ fetch كوسيطة لأداة (tool argument)، وبالتالي يمكن لمهاجم قادر على التأثير في ما يطلبه النموذج قراءة استجابات داخلية مرة أخرى إلى سياق النموذج.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.