Plataforma
go
Componente
github.com/apache/skywalking-mcp
Corrigido em
0.1.1
0.2.0
A vulnerabilidade CVE-2026-34476 é uma falha de Server-Side Request Forgery (SSRF) identificada no Apache SkyWalking MCP. Essa falha permite que um atacante induza o servidor a fazer requisições para recursos internos ou externos não autorizados, potencialmente expondo informações sensíveis ou comprometendo a segurança da infraestrutura. A vulnerabilidade afeta a versão 0.1.0 do SkyWalking MCP e pode ser mitigada através da atualização para a versão 0.2.0.
Um atacante que explore a vulnerabilidade SSRF no Apache SkyWalking MCP pode realizar requisições para qualquer URL que o servidor tenha permissão para acessar. Isso pode incluir a leitura de arquivos de configuração internos, o acesso a serviços de monitoramento internos, ou até mesmo a interação com outros sistemas na rede interna. O impacto potencial é significativo, pois um atacante pode obter informações confidenciais, realizar ações não autorizadas ou até mesmo comprometer outros sistemas. A exploração bem-sucedida pode levar à divulgação de dados sensíveis, interrupção do serviço e comprometimento da integridade do sistema.
A vulnerabilidade CVE-2026-34476 foi divulgada em 2026-04-13. Não há informações disponíveis sobre exploração ativa ou a inclusão em catálogos como o KEV da CISA. A existência de um Proof of Concept (PoC) público não foi confirmada até o momento, mas a natureza da vulnerabilidade SSRF a torna um alvo potencial para exploração. A severidade é classificada como ALTA (CVSS 7.1).
Organizations deploying Apache SkyWalking MCP version 0.1.0, particularly those with sensitive internal services accessible from the SkyWalking server, are at risk. Shared hosting environments where SkyWalking MCP is deployed alongside other applications should also be considered vulnerable, as a compromised SkyWalking instance could potentially be used to attack other tenants.
• linux / server:
journalctl -u skywalking-mcp -g "SW-URL"• generic web:
curl -I <skywalking_mcp_url>/api/some/endpoint | grep -i 'sw-url:'disclosure
Status do Exploit
EPSS
0.03% (percentil 9%)
Vetor CVSS
A mitigação primária para a vulnerabilidade CVE-2026-34476 é a atualização para a versão 0.2.0 do Apache SkyWalking MCP, que inclui a correção para a falha SSRF. Se a atualização imediata não for possível, considere implementar regras de firewall ou proxy para restringir as requisições que o SkyWalking MCP pode fazer. Além disso, revise as configurações de rede e de segurança para garantir que apenas as requisições necessárias sejam permitidas. Monitore os logs do SkyWalking MCP em busca de atividades suspeitas, como requisições para URLs inesperadas.
Atualize para a versão 0.2.0 do Apache SkyWalking MCP para mitigar a vulnerabilidade de Server-Side Request Forgery (SSRF) causada pelo cabeçalho SW-URL. Esta atualização corrige o problema ao validar e restringir as solicitações realizadas através do cabeçalho SW-URL.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-34476 is a Server-Side Request Forgery vulnerability in Apache SkyWalking MCP versions 0.1.0, allowing attackers to make arbitrary requests through the server.
Yes, if you are running Apache SkyWalking MCP version 0.1.0, you are affected by this vulnerability.
Upgrade Apache SkyWalking MCP to version 0.2.0 or later to resolve the SSRF vulnerability.
Currently, there are no confirmed reports of active exploitation, but the vulnerability is publicly known.
Refer to the Apache SkyWalking project website and security announcements for the official advisory regarding CVE-2026-34476.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo go.mod e descubra na hora se você está afetado.