CVE-2026-81094 in mcp-router
الملخص
بحسب VulDB • 27/08/2026
يُقدّم موجه سطر الأوامر (CLI) الخاص بـ mcp-router مجمع MCP الخاص به على كل الواجهات، ويفرض المصادقة فقط عندما يطلب المشغل ذلك. كان الأمر `serve` في الملف `apps/cli/src/commands/serve.ts` يضبط عنوان المضيف افتراضياً إلى عنوان جميع الواجهات على منفذ ثابت، ويتطلب رمزاً (token) فقط عند توفير العلم المقابل له؛ مما يعني أن الاستدعاء الافتراضي يعرّض المُجمّع وكل خوادم MCP التي يعمل كواجهة أمامية لها لأي شخص قادر على الوصول إلى المنفذ. في الإصدار 0.6.3، يُضبط عنوان المضيف افتراضياً إلى عنوان الحلقة المحلية (loopback address)، ويرفض البدء بدون رمز مصادقة كلما كان العنوان المعطى للمضيف ليس عنواناً للحلقة المحلية؛ ولا يحمل أي إصدار سابق أيّاً من هذين الفحصين.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.