Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-119287

Zuke MCP kayıt modunda komut biçimli tanımlayıcılar başlatma politikasını atlatıyor

zuke-build zuke

Yüksek 8,0 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, otomasyon aracının güvenilmeyen bir kaynaktan gelen kayıt bilgilerini doğrulamadan çalıştırmasına izin veriyor ve ciddi bir sistem ele geçirme riski taşıyor. Etkilenen sürümü kullanan kuruluşların güncellemeyi öncelikli olarak planlaması gerekiyor.

ÖzetTürkçe

Zuke, Deno için kod öncelikli ve güçlü tipli bir derleme otomasyon sistemidir. 1.51.0 öncesi sürümlerde @zuke/core MCP kayıt modu, uzak modül tanımlayıcılarında uygulanan ZUKE_REGISTRY_LAUNCH_HOSTS yetkilendirmesini komut biçimli kayıt tanımlayıcılarına uygulamıyor. Bu sorun, zuke mcp --registry --allow-run komutuyla başka bir tarafın yazabildiği bir kayda erişen sistemleri etkiliyor.

Saldırgan ne yapabilir?

Kayda yazma yetkisi olan bir saldırgan, çalıştırılacak programı ve argümanlarını seçerek operatörün ortam değişkenleri ve çalışma alanı erişimiyle komut çalıştırabilir.

Kaynaktaki açıklama (İngilizce)

Zuke is a code-first, strongly typed build automation system for Deno. Prior to 1.51.0, the @zuke/core MCP registry mode accepts command-form registry descriptors without applying the ZUKE_REGISTRY_LAUNCH_HOSTS authorization enforced for remote module descriptors. When zuke mcp --registry --allow-run reads a registry writable by another party and a run-capable caller invokes the affected tool, the registry writer can choose the program and arguments executed with the operator's environment and workspace access. The --allow-run and --protect name globs do not contain the issue because the descriptor supplies those names, and the optional destructive confirmation displays a description controlled by the same writer. The local default registry populated only through zuke register is not affected because that command writes module-form descriptors. This issue is fixed in version 1.51.0.

Ne yapmalı?

  1. Zuke paketini 1.51.0 veya üzeri bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar zuke mcp --registry --allow-run kullanımını durdurun ya da kayıt kaynağının yalnızca güvenilir kişiler tarafından yazılabildiğinden emin olun. Genel öneri
  3. Yetkisiz değişiklik olup olmadığını görmek için kayıt dosyalarını ve yakın tarihli çalıştırma kayıtlarını inceleyin. Genel öneri

Ek önlemler

  • Paylaşılan veya ağ üzerinden erişilen kayıt kaynaklarına yazma yetkisini en aza indirin. Genel öneri
  • Otomasyon araçlarını ayrıcalıksız bir hesapla çalıştırın ve ortam değişkenlerinde hassas bilgi tutmaktan kaçının. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
zuke-build zuke < 1.51.0 1.51.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.