CVE-2026-58201 in Lokka
要約
〜によって VulDB • 2026年09月15日
Lokkaは、Microsoft Graphやその他のサービスを含むMicrosoft 365用のModel Context Protocolサーバーです。バージョン2.1.2より前では、src/mcp/src/main.ts内のLokka-Microsoftツールが、ユーザー制御可能なパス値をmanagement.azure.comのベースURLに追加するために直接のURL文字列連結を使用していました。 specially craftedされたパスはURL権限の解析を変更し、Azure Resource Managerのベアラートークンが意図しないホストへ送信される原因となります。この問題はバージョン2.1.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.