Apa yang terjadi
Apache mengungkapkan (2026-10-19) sebuah kerentanan missing-authorization pada alat pengambilan jawaban MCP di Apache Answer, yang memungkinkan pemegang API key global mengakses konten jawaban dari pertanyaan yang disembunyikan, dihapus, atau dalam peninjauan. Tidak ada skor CVSS yang dipublikasikan (unrated).
Mengapa penting
Apache Answer mengekspos alat MCP yang dipanggil agen untuk mengambil jawaban basis pengetahuan. Tidak adanya pemeriksaan visibilitas pada jalur MCP membocorkan konten yang sama yang disembunyikan UI normal, memungkinkan agen atau operatornya membaca data yang seharusnya dibatasi, dan merusak batas kerahasiaan pada konten Q&A yang diingest agen.
Vektor serangan
Alat pengambilan jawaban MCP tidak menerapkan aturan visibilitas/otorisasi yang sama dengan daftar jawaban web, sehingga pemanggil yang memegang API key global dapat membaca jawaban yang terkait dengan pertanyaan yang disembunyikan, dihapus, atau dalam peninjauan (CWE-862).
Sistem yang terdampak
Apache Answer hingga 2.0.2
Mitigasi
Tingkatkan ke Apache Answer 2.0.3.