CVE-2026-55156 in token-optimizer-mcp
Zusammenfassung
von VulDB • 28.09.2026
Token Optimizer MCP misst die Token-Einsparungen pro KI-Coding-Agent, optimiert den Kontext und teilt einen lokalen Live-Wissensgraphen über 16 CLI-Clients. Vor Version 5.1.0 stellt der Dashboard-HTTP-Server in token-optimizer-mcp /api/session-summary und /api/session-events ohne Authentifizierungs-Middleware zur Verfügung – jeder netzwerkzugängliche Client kann diese Endpunkte ohne Anmeldeinformationen erreichen. Beide Handler verketten den vom Aufrufer bereitgestellten query-Parameter sessionId direkt mit einem Dateisystempfad über path.join, und Node.js normalisiert .. -Segmente bei der Auflösung, was es einem nicht authentifizierten Angreifer ermöglicht, jede .jsonl-Datei zu lesen, die aus dem Dateisystem des Servers erreichbar ist. Dieses Problem wurde in Version 5.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.