Rdimitrov

**Nome do Software Vulnerável e Versões Afetadas** MCP Registry versões anteriores a 1.7.9 **Descrição** A validação de propriedade OCI não realiza a verificação de correspondência de rótulo (label-match) quando um registro OCI upstream retorna um erro HTTP 429 (Too Many Requests). Isso ocorre porque a função `ValidateOCI()` no arquivo `internal/validators/registries/oci.go` falha de forma aberta durante eventos de limitação de taxa. Consequentemente, qualquer publicador autenticado pode vincular seu namespace `io.github.<user>/*` a imagens OCI que não controla, ignorando a verificação de correspondência do rótulo `io.modelcontextprotocol.server.name`, que serve como a única prova de propriedade entre sistemas para pacotes OCI. **Recomendações** Atualizar para a versão 1.7.9.

**Nome do software vulnerável e versões afetadas** Versões do go-tuf anteriores à 0.3.0 **Descrição** O problema diz respeito ao fluxo de trabalho do cliente para a atualização de arquivos de metadados para funções que não sejam a função raiz no go-tuf, uma implementação em Go do The Update Framework (TUF). Especificamente, as verificações contra ataques de reversão não estão implementadas corretamente, permitindo que um invasor faça com que os clientes instalem software mais antigo do que aquele que o cliente sabia estar disponível anteriormente, incluindo potencialmente software com vulnerabilidades conhecidas. O código do cliente apresenta várias falhas: ele não considera metadados previamente confiáveis antes de atualizar funções que não sejam a função raiz e salva arquivos de metadados de carimbo de data/hora e instantâneos como confiáveis antes de verificar a correção de suas versões. **Recomendações** Para versões anteriores à 0.3.0, atualize para a versão 0.3.0 ou mais recente para resolver o problema. Como solução alternativa temporária, considere restringir o uso do fluxo de trabalho do cliente vulnerável até que um patch esteja disponível. Não se conhecem outras soluções alternativas além da atualização.