事件经过
Apache于2026-10-19披露了Apache Answer中MCP答案检索工具的一个缺少授权漏洞，允许持有全局API密钥的用户访问隐藏、已删除或待审核问题的答案内容。未发布CVSS评分（未评级）。
影响分析
Apache Answer暴露了一个MCP工具，供代理调用以检索知识库答案。MCP路径中缺少可见性检查，泄漏了正常界面隐藏的相同内容，使代理或其操作员能够读取本应受限的数据，并破坏了代理所摄取问答内容的机密性边界。
攻击途径
MCP答案检索工具未执行与网页答案列表相同的可见性/授权规则，因此持有全局API密钥的调用者可以读取与隐藏、已删除或待审核问题相关联的答案（CWE-862）。
受影响系统
Apache Answer 至 2.0.2 版本
缓解措施
升级至 Apache Answer 2.0.3。