- Yama var
- Son 7 gün
- CWE-306
- CWE-942
CVE-2026-62863
MoLing: Kimlik doğrulamasız SSE ve joker CORS ile araç oturumlarının ele geçirilmesi
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sistemde çalışan bir yazılımın kullanıcının tarayıcısı üzerinden uzaktan kötüye kullanılabilmesine olanak tanır. Kullanıcının yalnızca kötü amaçlı bir web sayfasını ziyaret etmesi yeterli olabilir ve bu durum bilgisayardaki verilerin ele geçirilmesine yol açabilir. Risk kritik seviyededir; etkilenen sürümlerin hemen güncellenmesi gerekir.
ÖzetTürkçe
MoLing, bilgisayar ve tarayıcı kullanımına dayalı bir MCP sunucusudur. 0.5.0 öncesi sürümlerde parametresiyle SSE modunda çalıştırıldığında /sse ve /message uç noktaları istekleri kimlik doğrulamadan kabul eder ve mcp-go bağımlılığı Access-Control-Allow-Origin: * başlığını gönderir. Kötü amaçlı bir web sayfası, kurbanın tarayıcısı üzerinden yerel dinleyiciye bağlanarak oturum kimliğini okuyabilir; yalnızca yerel ağ arayüzüne bağlama bu saldırıyı engellemez.
Saldırgan ne yapabilir?
Saldırgan, yapılandırılmış araçlar üzerinden yetkisiz MCP araç çağrıları göndererek yerel dosyaları okuyabilir veya yazabilir, komut çalıştırabilir ya da diğer işlemleri gerçekleştirebilir.
Kaynaktaki açıklama (İngilizce)
MoLing is a computer-use and browser-use based MCP server. Prior to 0.5.0, when MoLing runs in SSE mode using -l, its /sse and /message HTTP endpoints do not authenticate requests and the mcp-go dependency sets Access-Control-Allow-Origin: *. A malicious web page can open a cross-origin EventSource to /sse, including a loopback listener, and read the endpoint event to obtain sessionId. After a victim running SSE mode visits that page, the attacker can use the disclosed sessionId against /message to send unauthorized MCP tool calls. Depending on the configured tools, those calls can read or write local files, execute commands or perform other actions. Binding only to loopback does not prevent this browser-mediated attack. This issue is fixed in version 0.5.0.
Ne yapmalı?
- MoLing yazılımını 0.5.0 veya sonrası bir sürüme yükseltin. Üretici
- Güncelleme tamamlanana kadar SSE modu çalışırken tarayıcıda güvenilmeyen web sayfalarını ziyaret etmekten kaçının. Genel öneri
- Yazılımın son çalışma döneminde yetkisiz araç çağrısı veya beklenmeyen dosya ve komut işlemleri olup olmadığını günlük kayıtlarından kontrol edin. Genel öneri
Ek önlemler
- MCP sunucularını yalnızca gerektiği durumda ve gerektiği süre boyunca çalıştırın; kullanılmayan oturumları kapatın. Genel öneri
- Sunucunun erişebildiği dosya ve komutları en az yetki ilkesine göre sınırlandırın. Genel öneri
- Çalışan yerel servislerin hangi portlarda dinlediğini ve hangi istemcilerin bağlandığını düzenli olarak izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| gojue moling | < 0.5.0 | 0.5.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.