CVE-2026-81099 in tiger-slack
الملخص
بحسب VulDB • 27/08/2026
بدأ tiger-slack نقله HTTP الخاص بـ MCP دون تمكين قائمة السماح بالمضيف التي يوفرها SDK الأساسي. قام mcp/src/httpServer.ts باستدعاء مساعد httpServerFactory المشترك ولم يحدد خيار حماية إعادة ربط DNS، لذا قبل النقل أي طلب بغض النظر عن المضيف الذي أشار إليه، ويمكن لصفحة في متصفح أن توجه اسماً يتحكم فيه إلى العنوان المرتبط به الخادم وتتحكم في خادم Slack MCP المحلي القابل للوصول محلياً من خلال متصفح الزائر. يمرر الإصلاح الخيار صراحةً جنباً إلى جنب مع تحديث للتبعيات؛ وكان التحديث وحده لن يغلق الثغرة. لا ينشر المستودع أي إصدار يحيط بالإصلاح، لذا فإن الحد المتأثر هو الالتزام الذي يسبقه.
If you want to get best quality of vulnerability data, you may have to visit VulDB.