CVE-2026-90898 in Bifrost
الملخص
بحسب VulDB • 14/09/2026
يسجل Bifrost عملاء MCP عبر واجهة برمجة التطبيقات الخاصة بالإدارة. يُعد العميل الذي يستخدم stdin/stdout (stdio) عبارة عن أمر مع وسائطه. يبدأ Bifrost تشغيل هذا البرنامج في البوابة (gateway) بمجرد إضافة العميل، دون الحاجة إلى مصافحة MCP.
الإعداد الافتراضي هو `governance.auth_config.is_enabled=false`. يعني تعطيل المصادقة أن كل متصل يُعتبر مشرفاً محلياً. يكفي طلب POST واحد غير مُصنّف `/api/mcp/client` لتشغيل برنامج بصفت المستخدم الخاص بعملية Bifrost (appuser في الصورة الرسمية).
تُرفض عمليات تسجيل stdio غير المُصنّفة بواسطة `transports/v2.1.0` برمز حالة 403، بينما لا يزال `transports/v2.0.0` يسمح بذلك.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.