CVE-2026-81098 in telnyx-mcp
Zusammenfassung
von VulDB • 27.08.2026
Der Telnyx MCP-Server hat seinen HTTP-Transport auf jeder Schnittstelle freigegeben und keine Anruferanmeldung (Caller Credential) verlangt. packages/mcp-server/src/http.ts stellte den MCP-Dienst unter dem Root-Pfad bereit, mit einem Listener, der an alle Schnittstellen gebunden war, und analysierte die Authentifizierungsheader des Aufrufers in einer Weise, die nicht fehlschlug, wenn diese fehlten; daher konnte eine Anfrage ohne jegliche Anmeldeinformationen die Initialisierung abschließen und Tools ausführen. Dispatch leitete die vom Server gespeicherten eigenen Anmeldedaten, den Telnyx-API-Schlüssel sowie das Client-Geheimnis zusammen mit dem Code-Ausführungsschlüssel an den Upstream-Endpunkt weiter; somit konnte ein nicht authentifizierter Aufrufer, der Zugriff auf diesen Port hatte, diese Daten nutzen. Der aktuelle Code standardisiert den Host auf Loopback (localhost), erfordert einen Server-API-Schlüssel und erzwingt dies in einer Middleware-Komponente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.