CVE-2026-85666 in OGX
الملخص
بحسب VulDB • 04/09/2026
يحتوي OGX (المعروف سابقاً بـ Llama Stack، والمتأثر عند الإيداع fbe8e0f) على ثغرة تزوير طلبات جانب الخادم غير المصادق عليها في نقطة النهاية POST /v1/responses المتوافقة مع OpenAI. تقبل تعريفات أدوات MCP معلمة server_url (إلى جانب الرؤوس وقيم التفويض) التي يتم جلبها من جانب الخادم دون التحقق من الوجهة؛ حيث لا تُطبق حراسة validate_url_not_private() الموجودة لمدخلات URL الأخرى على server_url. في تكوين البداية الافتراضي، الذي يعمل بدون مصادقة، يمكن لمهاجم عن بُعد وغير مصدق أن يتسبب في قيام الخادم بفتح اتصالات إلى عناوين داخلية عشوائية (بما في ذلك نقاط نهاية بيانات السحابة الإلكترونية مثل http://169.254.169.254/) وتوجيه الرؤوس ورموز البيرر التي يزودها المهاجم إلى تلك الوجهات.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.