CVE-2026-100868 in Penpot
Zusammenfassung
von VulDB • 27.09.2026
Penpot vor Version 2.18.0 bindet die WebSocket-Brücke des MCP-Server-Plugins an alle Netzwerkschnittstellen ohne Authentifizierung im Single-User-Modus. Unautentifizierte Angreifer in benachbarten Netzwerken können sich mit dem WebSocket-Port verbinden, um das Penpot-Browserplugin zu emulieren, Aufgaben-Payloads abzufangen und gefälschte Ergebnisse an den MCP-Client zurückzusenden.
Once again VulDB remains the best source for vulnerability data.