ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
خادم D365 F&O MCP هو خادم بروتوكول سياق النموذج للاستعلام عن كود وبيانات وصفية لـ X++ في Dynamics 365 Finance & Operations. قبل الإصدار 1.11.0، يستخدم النشر الرسمي الموثق بنقرة واحدة على Azure الملفين infrastructure/azuredeploy.json و infrastructure/main.bicep لجعل المعامل apiKey فارغًا افتراضيًا وتمريره إلى إعداد API_KEY لخدمة التطبيقات (App Service). مع ترك API_KEY غير محدد أو فارغ، يمرر src/middleware/apiKeyAuth.ts الطلبات دون مصادقة، بينما يربط src/index.ts مستمع HTTP بـ 0.0.0.0 افتراضيًا. إذا ترك القائم بالنشر المفتاح الاختياري فارغًا ولم يضف قيود شبكة منفصلة أو مصادقة من المنبع، فإن خدمة التطبيقات العامة الناتجة ستسمح بطلبات tools/call لـ JSON-RPC دون مصادقة إلى /mcp. لا يمنع إعداد MCP_SERVER_MODE=read-only الخاص بالنشر الوصول مجهول الهوية إلى أدوات القراءة/البحث، بما في ذلك search و get_object_info و batch_get_info و extension_info و security_info و find_references و find_event_handlers، مما يكشف مقتطفات شيفرة X++ المصدرية الخاصة والمفهرسة والبيانات الوصفية. يمكن أن تتضمن المعلومات المكشوفة منطق الأعمال، وتوصيلات الإضافات ومعالجات الأحداث، وهيكل أدوار الأمان والصلاحيات، والتسميات المفهرسة في الأصل من PackagesLocalDirectory. عمليات النشر المحمية بمفتاح API مُكوّن، أو مصادقة فعالة من المنبع، أو قيود شبكة تمنع وصول المهاجم، هي خارج سيناريو الكشف هذا الذي يتم دون مصادقة. تم إصلاح هذه المشكلة في الإصدار 1.11.0.
المعالجة
المراجع
- مرجعhttps://github.com/dynamics365ninja/d365fo-mcp-server/commit/384394a81e1c6c1e0149586203395240a38fc818
- مرجعhttps://github.com/dynamics365ninja/d365fo-mcp-server/commit/e70bd051f817ebb652d664b10a944fe2c5495de2
- مرجعhttps://github.com/dynamics365ninja/d365fo-mcp-server/releases/tag/v1.11.0
- مرجعhttps://github.com/dynamics365ninja/d365fo-mcp-server/security/advisories/GHSA-8764-fh3m-wf7g