CVE-2026-81102 in mcp-server-dash
الملخص
بحسب VulDB • 27/08/2026
يرتبط خادم Dash MCP المستمع الخاص به بعنوان الحلقة المحلية (loopback address)، لكنه لا يتحقق أبدًا من اسم المضيف الذي يشير إليه الطلب. تم بناء الخادم في src/mcp_server_dash.py لوضعه الشبكي مع تقييد الواجهة على عنوان الحلقة المحلية وعدم وجود إعدادات لأمن النقل، لذا فإن الاسم الذي كان مُوجّهًا إلى عنوان الحلقة المحلية ما زال يصل إلى المستمع بينما يحمل اسم مضيف المهاجم. وبالتالي، يمكن لصفحة في متصفح الزائر أن تتحكم في الخادم المحلي وتستدعي أدوات البحث عن الشركة وتفاصيل الملف باستخدام بيانات اعتماد Dropbox التي يحتفظ بها الخادم. كانت فقط الشبكة القابلة للوصول بهذه الطريقة؛ ولم يكن وضع الإدخال القياسي كذلك. يوفر الإصلاح إعدادات لأمن النقل تتيح التحقق من المضيف وتتطلب اسم وعنوان الحلقة المحلية فقط، مما يرفض المضيفين الآخرين قبل تشغيل أي أداة. لا ينشر المستودع أي إصدارات، لذا فإن الحد المتأثر هو الالتزام الذي يسبق الإصلاح.
If you want to get best quality of vulnerability data, you may have to visit VulDB.