CVE-2025-66414 in typescript-sdk
Zusammenfassung
von VulDB • 10.06.2026
Das MCP TypeScript SDK ist das offizielle TypeScript SDK für Model Context Protocol-Server und -Clients. Vor Version 1.24.0 aktiviert das Model Context Protocol (MCP) TypeScript SDK den Schutz vor DNS-Rebinding nicht standardmäßig für HTTP-basierte Server. Wenn ein HTTP-basierter MCP-Server auf localhost ohne Authentifizierung mit StreamableHTTPServerTransport oder SSEServerTransport ausgeführt wird und enableDnsRebindingProtection nicht aktiviert ist, könnte eine bösartige Website DNS-Rebinding ausnutzen, um die Same-Origin-Policy-Einschränkungen zu umgehen und Anfragen an den lokalen MCP-Server zu senden. Dies könnte es einem Angreifer ermöglichen, in diesen begrenzten Fällen Tools aufzurufen oder auf Ressourcen zuzugreifen, die vom MCP-Server im Namen des Benutzers freigegeben wurden. Beachten Sie, dass das lokale Ausführen von HTTP-basierten MCP-Servern ohne Authentifizierung gemäß den besten Sicherheitspraktiken für MCP nicht empfohlen wird. Dieses Problem betrifft keine Server, die den stdio-Transport verwenden. Diese Schwachstelle wurde in Version 1.24.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.