Apa yang terjadi
Terverifikasi pada commit perbaikan (diambil): guard keamanan digantungkan pada NODE_ENV alih-alih pada apakah autentikasi ada atau bind bersifat publik, sehingga deployment one-click non-dokumentasi dikirim tanpa kunci dan terekspos. Perbaikan membuat lupa-kunci menjadi biaya keterjangkauan alih-alih kerahasiaan.
Mengapa penting
Template cloud one-click dan konektor MCP adalah pintasan deployment yang tepercaya; server MCP yang mengekspos metadata Dynamics 365 F&O tanpa autentikasi membocorkan kode ERP sensitif, konfigurasi, dan data bisnis ke rekan jaringan mana pun.
Vektor serangan
Guard startup yang ditambahkan untuk GHSA-8764-fh3m-wf7g hanya aktif ketika NODE_ENV=production; template Bicep menetapkan variabel itu untuk one-click, tetapi jalur pipeline yang didokumentasikan menetapkan variabel berbeda dan tidak menetapkan NODE_ENV maupun API_KEY, sehingga server yang terekspos mengikat antarmuka publik tanpa kunci API — akses jaringan tanpa autentikasi ke metadata ERP/alat MCP kueri.
Sistem yang terdampak
d365fo-mcp-server < 1.11.0 (D365 F&O MCP Server, jalur deployment Azure one-click / pipeline)
Mitigasi
Tingkatkan ke ≥1.11.0 (commit 384394a memperbaiki guard untuk mengunci pada alamat bind: server tanpa kunci sekarang mengikat 127.0.0.1, atau menolak memulai di antarmuka publik); atur API_KEY atau ALLOW_UNAUTHENTICATED secara eksplisit jika bind publik dimaksudkan.