CVE-2026-105806 [高リスク] 脆弱性内容：MCP APIキーに対するアクセス制御の不備。

公開日 2026-10-07 GitHub Advisory（high）深刻度 HIGH

この記事は英語の原文を AI で機械翻訳したものです。製品名・バージョン・CVE 番号や、肯定・否定が正しく訳されていない場合があります。必ず元記事をご確認ください。ご利用上の注意

ペイロード：MCP APIキーに対する不適切なアクセス制御

### 影響
特定の条件下では、認証されたユーザーが、意図されたアカウント以外のMCP APIキーを管理できる可能性があり、攻撃者がアカウントを乗っ取ることで権限を昇格させられる可能性があります。

`@payloadcms/plugin-mcp`を使用していないアプリケーションは影響を受けません。

### 修正
ユーザーは、`@payloadcms/plugin-mcp`をバージョン`3.88.0`以降にアップグレードする必要があります。

### 対策
アップグレードすることを推奨します。それまでの間、MCPプラグインを無効にするか、MCP APIキーの管理を信頼できるユーザーに制限してください。

影響を受けるパッケージ：
- npm (JavaScript) `@payloadcms/plugin-mcp`: 影響を受けるバージョンは、3.61.0以上、3.88.0未満。3.88.0で修正済み。