- Son 7 gün
- CWE-183
CVE-2026-117570
nmap-mcp scan_vulnerabilities aracında izin listesi yetersiz doğrulama (NSE betikleri)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Yapay zeka destekli tarama araçlarında, yetkisiz saldırı betiklerinin çalıştırılmasına izin veren bir açık bulunmaktadır. Bu durum, hedef sistemlerde hizmet kesintisi riski ve kuruluşunuz adına yasal sorumluluk doğurabilir. Kullanıyorsanız bu aracı kısıtlamak ve güncelleme yayımlanana kadar kullanımını gözden geçirmek önceliklidir.
ÖzetTürkçe
Vorota-ai nmap-mcp, commit 3636afa dahil olmak üzere bu sürüme kadar, scan_vulnerabilities aracında NSE betik kategorilerini doğru doğrulamaz. Bu nedenle çağrı yapan MCP istemcileri veya prompt injection ile manipüle edilmiş yapay zeka ajanları, engellenmesi gereken exploit, dos, brute ve intrusive gibi kategorileri nmap --script parametresine verebilir. Etkilenen taraf, bu aracı kullanan sistemler ve tarama yapılan hedeflerdir.
Saldırgan ne yapabilir?
Saldırgan, tarama hedeflerine karşı saldırgan nitelikte betikler (brute-force, exploit veya hizmet reddi) çalıştırtabilir; bu da hedef sistemlerde hizmet kesintisine veya yetkisiz erişim denemelerine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Vorota-ai nmap-mcp through commit 3636afa contains an improper allowlist validation vulnerability in the scan_vulnerabilities tool that lets callers run blocked NSE script categories. MCP clients or prompt-injected agents can pass categories like exploit, dos, brute, or intrusive to nmap --script, running intrusive, brute-force, exploit, or denial-of-service scripts against scan targets.
Ne yapmalı?
- Üretici tarafından bu açık için sabit bir sürüm veya çözüm bilgisi henüz verilmemiştir. Sürüm bilgisi için projenin resmi deposunu takip edin ve düzeltme yayımlandığında güncelleyin. Genel öneri
- Güncelleme yayımlanana kadar scan_vulnerabilities aracını devre dışı bırakın veya yalnızca güvendiğiniz, kısıtlı kategorilerle çalıştırılan taramalara izin verin. Genel öneri
- Aracın NSE betik kategorilerini kendi tarafınızda, sunucu tarafında bir izin listesiyle sınırlandırın; yalnızca zararsız kategorilere (örneğin safe ve default gibi) izin verin. Genel öneri
- Yapay zeka ajanlarının araca gönderdiği parametreleri denetleyin ve tarama hedeflerini yalnızca yetkili ağ aralıklarıyla sınırlayın. Genel öneri
Ek önlemler
- Tarama araçlarının çalıştırdığı komutları ve betik kategorilerini günlüğe kaydedip olağandışı kategori kullanımını izleyin. Genel öneri
- Yapay zeka ajanlarının girdilerini güvenilmeyen veri olarak ele alın ve doğrudan sistem komutlarına aktarmayın. Genel öneri
- Tarama yapılan hedeflerde beklenmedik brute-force veya hizmet reddi trafiği olup olmadığını ağ izleme araçlarıyla kontrol edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Vorota-ai nmap-mcp | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.