IBM ContextForge Translate Cross-Client Credential Context Confusion (CVE-2026-18489)

IBM ContextForge Translate 跨客户端凭证上下文混淆漏洞 关键信息总结 漏洞概述 CVE编号：CVE-2026-18489 漏洞描述：当 选项处于激活状态时，Translate 服务（ ）存在凭证上下文混淆漏洞。 漏洞机制：Translate 服务作为标准组件，通过 IBM ContextForge MCP Gateway 桥接 HTTP/SSE 客户端到 stdio 基的 MCP 服务。它会将请求头（如 ）映射到子进程的环境变量中。当 JSON-RPC 消息映射到单个共享的 stdio 子进程时，30 秒的重启限制可能导致第二个连接的客户端在第一个客户端的凭证派生环境下执行请求，从而暴露跨客户端数据，并允许在错误的身份下执行请求操作。 CVSS 评分：7.1（CVSS:3.1/AV:N/AC:H/PR:U/I:0.5/C:0.3/H:A:N） CWE：CWE-488（数据元素暴露给错误的会话） 影响范围 受影响产品：IBM ContextForge MCP Gateway - Translate 工具 受影响版本：<= v1.0.8 操作系统：Linux、Mac OS、Windows 使用场景限制：该服务仅适用于本地、单会话开发使用，不满足生产或多客户端部署所需的会话隔离。 修复方案 官方建议：IBM 强烈建议立即修复该漏洞。 修复方式：更新产品文档，明确说明该限制，移除可能暗示多租户生产适用性的旧指引。 临时缓解措施（若当前在非开发环境中运行）： 1. 立即停止 Translate 服务，并将其从任何生产部署中移除。 2. 轮换任何可能已被映射到共享子进程环境的凭证（API 令牌、 头）。 3. 审查工具调用的审计日志，检查 HTTP 调用者身份与子进程凭证上下文不匹配的情况。 参考链接 完整 CVSS v3 指南 在线计算器 v3 修复 PR：https://github.com/IBM/mcp-context-forge/pull/6388 受影响组件： CWE-488 定义：https://cwe.mitre.org/data/definitions/488.html

目標達成すべての支援者に感謝 — 100%達成しました！

IBM ContextForge Translate Cross-Client Credential Context Confusion (CVE-2026-18489)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

IBM ContextForge Translate Cross-Client Credential Context Confusion (CVE-2026-18489)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！