El servidor MCP de l’API d’eBay és vulnerable a la injecció de variables d’entorn a través de la funció updateEnvFile.
27/02/2026
CVE-2026-27203
ALT (8,7)
CVSS3: 8,3
El servidor MCP de l’API d’eBay és un servidor MCP local de codi obert que proporciona als assistents de la IA accés complet a les API de venda d’eBay. Totes les versions són vulnerables a la injecció de variables d’entorn a través de la funció updateEnvFile. L’eina ebay_set_user_tokens permet actualitzar el fitxer .env amb testimonis nous. La funció updateEnvFile de src/auth/oauth.ts afegeix o substitueix valors cegament sense validar-los per a salts de línia o cometes. Això permet que un atacant injecti variables d’entorn arbitràries al fitxer de configuració. Un atacant pot injectar variables d’entorn arbitràries al fitxer .env. Això podria provocar sobreescriptures de configuració, denegació de servei i possible RCE. No hi havia cap solució per a aquest problema en el moment de la publicació.
post:/platform/configuration/security/service-accountsdelete:/platform/configuration/security/service-accounts/{user_id}patch:/platform/configuration/security/service-accounts/{user_id}post:/platform/configuration/security/service-accounts/{user_id}/keysdelete:/platform/configuration/security/service-accounts/{user_id}/keys/{api_key_id}patch:/userpost:/userspost:/users/auth/keysdelete:/users/auth/keysdelete:/users/auth/keys/_alldelete:/users/auth/keys/{api_key_id}delete:/users/{user_id}/auth/keysdelete:/users/{user_id}/auth/keys/{api_key_id}delete:/users/{user_name}patch:/users/{user_name}
Sistemes Afectats
- e-bay MCP
Remediació
No hi ha cap recurs disponible a partir del 20 de febrer del 2026. Vegeu-ne les Referències.
