Injection de template dans @dynatrace-oss/dynatrace-mcp-server

Veille sécuritéFrontend

P4Moyenne

L’avis GHSA-xrmj-5g4g-8987 décrit une injection de template dans `@dynatrace-oss/dynatrace-mcp-server` : des paramètres fournis à `create_workflow_for_notification` peuvent être interprétés comme des expressions Jinja2 et exposer des données d’événement via un workflow persistant. Les versions antérieures à 2.0.0 sont indiquées comme affectées ; mettre à jour vers 2.0.0 ou une version ultérieure.

IdentifiantCVE-2026-123809

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif2.0.0

Source : GHSA-xrmj-5g4g-8987 — @dynatrace-oss/dynatrace-mcp-server

Analyse technique

Les paramètres teamName, problemType et channel sont interpolés dans une définition de workflow Dynatrace, où les expressions de template peuvent être évaluées à l’exécution.

Impact, versions et correctif

Événement datéL’avis indique une mise à jour le 2026-11-09T20:53:41Z, comprise dans la période demandée. La source fournie ne précise pas la nature exacte des changements effectués lors de cette mise à jour.

ImpactUn appelant peut provoquer l’évaluation d’expressions Jinja2 dans un workflow et exposer des données d’événement à une destination contrôlée par un attaquant.

Versions affectées< 2.0.0

Version corrigée2.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.2

Publication2026-07-31T16:01:07Z

Mise à jour2026-11-09T20:53:41Z

Action recommandée

Mettre à jour @dynatrace-oss/dynatrace-mcp-server vers la version 2.0.0 ou ultérieure.

Sources

GHSA-xrmj-5g4g-8987 — @dynatrace-oss/dynatrace-mcp-server

Priorisation DFS : P4 · 1 source(s).