Presenton < 0.8.8-beta - 认证绕过漏洞 漏洞概述 Presenton 在 0.8.8-beta 版本之前捆绑了一个 MCP 服务器。在服务器/Docker 部署中，配置了会话认证（AUTH_USERNAME/AUTH_PASSWORD）的 MCP 服务器在 路径上可被未认证访问，因为 nginx 前端未对该路径应用认证请求网关。MCP 服务器会自动为配置的用户生成有效的内部会话令牌。远程未认证攻击者可以调用 MCP 工具（如 ），执行已认证的应用程序操作，消耗操作员配置的 LLM API 密钥，并在操作员实例中创建演示文稿。Electron 桌面构建不受影响（MCP 已禁用）。 影响范围 Presenton < 0.8.8-beta 修复方案 升级到 Presenton 0.8.8-beta 或更高版本。 确保 MCP 服务器在 路径上应用认证请求网关。 对于 Electron 桌面构建，确保 MCP 已禁用。 参考链接 Release Notes Researcher Disclosure Maintainer PR Fix Commit 漏洞详情 严重性: 中等 日期: 2026年6月30日 CVE: CVE-2026-58446 CWE: CWE-306 Missing Authentication for Critical Function CVSS: 6.9 CVSS v4 向量: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VA:L/SC:N/SI:N/SA:N 贡献者: George Chen