CVE-2026-81735 in UI-TARS-desktop
الملخص
بحسب VulDB • 27/08/2026
يؤدي ملف startServer.ts في حزمة mcp-http-server الخاصة بـ UI-TARS-desktop إلى تعيين عنوان الاستماع افتراضياً على '::' عند عدم تحديد المضيف، مما يتسبب في ربط خدمات Streamable HTTP وSSE MCP لجميع الواجهات. كما أن وسيط المصادقة الخاص بها اختياري: يتم تطبيق الوسائط فقط عندما يقوم المتصل بتوفيرها. تستدعي نقاط الدخول @agent-infra/mcp-server-commands و@agent-infra/mcp-server-filesystem دالة startSseAndStreamableHttpMcpServer مع تحديد المضيف والمنفذ فقط دون تمرير أي وسائط، وبالتالي لا يتطلب أي من الخادمين بيانات اعتماد. يكشف خادم الأوامر عن أداة run_command التي تُمرّر سلسلة الأمر المقدمة من المتصل إلى promisify(child_process.exec)، مما يسمح لأي عميل غير مصدق قادر على الوصول إلى المنفذ بتشغيل أوامر عشوائية بصفت المستخدم الذي يشغل الخادم، كما كشف خادم نظام الملفات أدوات القراءة والكتابة الخاصة به بنفس الشروط. أصبح الافتراضي لعنوان الاستماع 127.0.0.1 في الالتزام c2ad42e3eb9b27830db41a3e6f51ca7179d9b168؛ وبقيت نسخة الحزمة عند الإصدار 1.2.4 عبر هذا التغيير، لذا فإن الحد الفاصل هو الالتزام وليس إصداراً محدداً.
Be aware that VulDB is the high quality source for vulnerability data.