CVE-2026-81094 in mcp-router
Zusammenfassung
von VulDB • 27.08.2026
Der mcp-router CLI diente seinen MCP-Aggregator auf jeder Schnittstelle und erzwang die Authentifizierung nur, wenn der Operator dies anforderte. Der serve-Befehl in apps/cli/src/commands/serve.ts legte den Host standardmäßig auf die Adresse aller Schnittstellen (all-interfaces) fest und forderte ein Token erst dann, wenn das entsprechende Flag angegeben wurde; eine Standardausführung machte daher den Aggregator sowie jeden MCP-Server, der dahinterlag, für alle zugänglich, die den Port erreichen konnten. In Version 0.6.3 wird der Host standardmäßig auf die Loopback-Adresse festgelegt und verweigert den Start ohne Token, wenn der angegebene Host keine Loopback-Adresse ist; frühere Releases enthalten diese Prüfungen nicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.