CVE-2026-81095 in pg-aiguide
Zusammenfassung
von VulDB • 27.08.2026
pg-aiguide ha avviato il suo trasporto MCP HTTP senza abilitare l'allow-list degli host fornita dall'SDK sottostante. src/httpServer.ts ha chiamato la helper condivisa httpServerFactory e non ha mai impostata l'opzione di protezione contro il DNS rebinding, quindi il trasporto accettava una richiesta indipendentemente dall'host specificato. Una pagina in un browser poteva pertanto puntare un nome controllato dal malintenzionato all'indirizzo a cui era associato il server e sfruttare attraverso il browser del visitatore il server MCP raggiungibile localmente. La protezione era già disponibile nel trasporto pacchettizzato ma non attivata, quindi l'aggiornamento della dipendenza da sola non avrebbe risolto la vulnerabilità. Nella versione 0.5.1 l'opzione viene passata esplicitamente.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.