meta-ads-mcp

Критическое исправление безопасности: утечка токена Graph API в логи. Обновите версию и смените токен.

• Ломает совместимостьОбновление не очищает старые логи; необходимо вручную удалить meta_ads_debug.log и сменить токен в настройках Facebook.
• ИсправленоУстранена уязвимость GHSA-r3r9-3mrh-x966: токены больше не записываются в открытые файлы логов.
• ИсправленоЛоги httpx и httpcore теперь изолированы и не попадают в общий логгер, а чувствительные данные маскируются.
• ИсправленоУровни доступа к лог-файлам и директориям жестко ограничены (0600/0700), права расширяются только при необходимости.
• НовоеУровень логирования по умолчанию изменен с DEBUG на INFO; для отладки установите переменную META_ADS_LOG_LEVEL=DEBUG.

Исправлена уязвимость SSRF в обработчике изображений: добавлена проверка ip.is_global и блокировка диапазона 100.64.0.0/10.

• ИсправленоИсправлена уязвимость GHSA-cx77-j6h8-3382 (SSRF) при загрузке изображений на сервере.
• ИсправленоДобавлена проверка ip.is_global и явный список небезопасных сетей, включая 100.64.0.0/10.
• ИсправленоУлучшена защита от обхода: IPv4-адреса в IPv6-формате и редиректы теперь корректно блокируются.

Исправление уязвимости: удалён неиспользуемый глобальный кэш изображений креативов и связанные ресурсы MCP.

• ИсправленоУстранена потенциальная уязвимость (GHSA-25fp-988j-w29f) путём удаления мёртвого кода и глобального кэша изображений креативов.
• Ломает совместимостьУдалён файл core/resources.py и регистрация ресурсов meta-ads://, что ломает совместимость с клиентами, читавшими этот путь.
• УстарелоЧтение meta-ads://resources больше не поддерживается; для получения данных следует использовать функции get_ad_image и get_ad_creatives.

Удалены неработающие инструменты openai_deep_research из-за уязвимости кэширования в многопользовательской среде.

• Ломает совместимостьУдалён модуль openai_deep_research и инструменты search/fetch, так как они не работали и содержали уязвимость.
• ИсправленоИсправлена критическая уязвимость GHSA-j7p8-g5m6-3wv5: кэш записей Meta Ads теперь не доступен другим пользователям в multi-caller среде.
• УстарелоВместо удалённых инструментов рекомендуется использовать типизированные методы: get_ad_accounts, get_campaigns, get_campaign_details, get_adsets, get_ads, get_ad_details.

Исправлена критическая уязвимость XSS в OAuth-сервере и удалён небезопасный эндпоинт /token.

• ИсправленоУстранена уязвимость XSS в странице ошибок OAuth-сервера и добавлены заголовки безопасности (CSP, nosniff и др.).
• ИсправленоУдалён небезопасный эндпоинт /token, который мог передать код авторизации сторонним скриптам.
• ИсправленоИсправлена ошибка 500, из-за которой код авторизации не сохранялся при успешном входе.
• НовоеОбновлена зависимость mcp[cli] с версии 1.23.0 до 1.28.1.

Удалена поддержка PIPEBOARD_API_TOKEN из-за проблем с безопасностью; добавлены альтернативные способы аутентификации.

• Ломает совместимостьУдалена поддержка PIPEBOARD_API_TOKEN: эндпоинт для получения токена Meta удалён из-за нарушения ограничений доступа.
• НовоеДобавлена возможность использования хостингового MCP-сервера для безопасной работы через Pipeboard API token.
• НовоеПоддержка использования собственного токена Meta через переменные META_ACCESS_TOKEN или META_APP_ID.
• ИсправленоПредупреждения теперь выводятся в stderr, чтобы не мешать JSON-RPC каналу при использовании stdio.

Критическое исправление уязвимости: неавторизованный доступ к инструментам MCP при использовании флага --sse-response.

• ИсправленоУстранена критическая уязвимость (CVSS 9.1), позволявшая выполнять инструменты MCP без аутентификации при запуске с флагом --sse-response.
• ИсправленоИсправлена ошибка привязки middleware: теперь защита от несанкционированного доступа корректно применяется ко всем режимам ответа, включая SSE.
• НовоеДобавлены регрессионные тесты, подтверждающие блокировку неавторизованных запросов как в режиме JSON, так и в режиме --sse-response.
• Рекомендуется обновиться до версии 1.0.119 и, если использовалась уязвимая конфигурация, сменить токен META_ACCESS_TOKEN.

Исправлена ошибка Meta (#100) в get_insights: теперь breakdown по platform_position корректно возвращает метрики действий по размещениям.

• Исправленоget_insights с breakdown=platform_position теперь возвращает поля действий (actions, action_values, conversions, cost_per_action_type) для каждого размещения, включая лиды и CPL.
• ИсправленоУстранена ошибка Meta (#100), возникавшая из-за отсутствия publisher_platform; инструмент теперь автоматически добавляет этот параметр при работе с platform_position.
• НовоеДобавлены регрессионные тесты для проверки корректной работы разбивки по размещениям.