„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-14748 betrifft AIAnytime Awesome-MCP-Server bis zur Version a884bb51bcd99e08e14fd712c749d55d9d9a13ab. Die Schwachstelle ermöglicht Server-Side Request Forgery (SSRF) durch manipulierte URL-Parameter und wird mit dem CVSS-Score 6.3 als Medium-Risiko klassifiziert.
Be772offene Systeme
Betroffen sind verschiedene Installationen von AIAnytime Awesome-MCP-Server. Das Projekt nutzt ein Rolling-Release-Modell, weshalb keine spezifischen Versionsinformationen verfügbar sind. Systeme mit aktiven mcp-wiki-Komponenten sind potentiell gefährdet.
Technische Details
Die Schwachstelle befindet sich in der Datei mcp-wiki/src/mcp_wiki/server.py innerhalb der Komponente mcp-wiki/wiki-summary. Die Vulnerability entsteht durch unzureichende Validierung des URL-Parameters. Ein Angreifer kann manipulierte URL-Eingaben verwenden, um den Server zu veranlassen, beliebige interne oder externe Netzwerkressourcen anzufordern.
Der Angriffsvektor ist netzwerkbasiert und erfordert keine Authentifizierung. Die Exploit-Details wurden öffentlich veröffentlicht, was das Risiko einer aktiven Ausnutzung erhöht.
Empfohlene Massnahmen
- Eingabevalidierung: Implementieren Sie strikte Validierung aller URL-Parameter vor der Verarbeitung
- Whitelist-Implementierung: Beschränken Sie erlaubte Zieldomänen und -ports
- Netzwerk-Segmentierung: Isolieren Sie betroffene Systeme von sensiblen internen Ressourcen
- Web Application Firewall: Setzen Sie WAF-Regeln zur Erkennung verdächtiger URL-Muster ein
- Monitoring: Überwachen Sie Server-Logs auf ungewöhnliche externe Anfragen
- Updates verfolgen: Überprüfen Sie regelmäßig Repository-Updates des Awesome-MCP-Server Projekts
Bewertung
Schweregrad: Medium (CVSS 6.3) | Vektor: Network | Patch-Status: Ausstehend
Obwohl kein offizieller Patch verfügbar ist, sollte das Risiko nicht unterschätzt werden. Die veröffentlichte Exploit und fehlende Entwickler-Reaktion erfordern proaktive Schutzmaßnahmen bis zur Bereitstellung eines Updates.
„`