priyankark a11y-mcp index.js A11yServer सर्वर-साइड रिक्वेस्ट फोर्जरी

priyankark द्वारा विकसित a11y-mcp लाइब्रेरी में, संस्करण 1.0.5 तक के एक भेद्यता की पहचान की गई है। यह भेद्यता फ़ाइल src/index.js में A11yServer फ़ंक्शन में मौजूद है। एक स्थानीय हमलावर इस फ़ंक्शन में हेरफेर करके आंतरिक या बाहरी संसाधनों के लिए अनुरोध भेज सकता है, जिससे संभावित रूप से सिस्टम सुरक्षा से समझौता हो सकता है। भेद्यता का सार्वजनिक प्रकटीकरण शोषण के जोखिम को बढ़ाता है, खासकर इस तथ्य को देखते हुए कि उत्पाद एक रोलिंग रिलीज़ मॉडल पर संचालित होता है, जिससे प्रभावित विशिष्ट संस्करणों और अपडेट किए गए संस्करणों की पहचान करना मुश्किल हो जाता है। भेद्यता की गंभीरता को CVSS 5.3 के रूप में रेट किया गया है, जो मध्यम जोखिम को दर्शाता है।

Organizations deploying a11y-mcp in environments where local network access is possible are at risk. This includes development environments, internal testing systems, and production deployments where the application interacts with internal services. Shared hosting environments utilizing this package are also potentially vulnerable.

• nodejs / server:

  npm list a11y-mcp

If the output shows a version less than 1.0.6, the system is vulnerable. • nodejs / server:

  npm audit a11y-mcp

This command will identify the vulnerability and suggest an upgrade. • generic web: Inspect network traffic for unusual outbound requests originating from the application server. Look for requests to internal services or resources that the application should not be accessing.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-02
3. संशोधित2026-04-04
4. EPSS अद्यतन2026-04-09

इस भेद्यता के लिए प्राथमिक शमन a11y-mcp लाइब्रेरी को संस्करण 1.0.6 या उच्चतर में अपग्रेड करना है। रोलिंग रिलीज़ मॉडल के कारण, विशिष्ट प्रभावित या अपडेट किए गए संस्करण सूचीबद्ध नहीं हैं। लाइब्रेरी अपडेट की निगरानी करना और उपलब्ध होने पर तुरंत अपडेट लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, A11yServer द्वारा किए गए अनुरोधों के लिए अनुमत डोमेन की श्वेतसूची लागू करने सहित अतिरिक्त सुरक्षा नियंत्रणों को लागू करने की सिफारिश की जाती है, ताकि SSRF शोषण के संभावित दायरे को सीमित किया जा सके। अनुरोध हैंडलिंग में संभावित कमजोरियों की पहचान करने और उन्हें ठीक करने के लिए कोड समीक्षा करना भी एक अनुशंसित अभ्यास है।