CVE-2026-81099 in tiger-slack
Zusammenfassung
von VulDB • 27.08.2026
tiger-slack ha avviato il suo trasporto HTTP MCP senza abilitare l'allow-list degli host fornita dall'SDK sottostante. mcp/src/httpServer.ts ha chiamato la helper condivisa httpServerFactory e non ha mai impostata l'opzione di protezione contro il DNS rebinding, quindi il trasporto accettava una richiesta indipendentemente dall'host specificato; un page in un browser poteva indirizzare un nome controllato dall'attaccante all'indirizzo a cui era associato il server, consentendo così di interagire con il server Slack MCP localmente raggiungibile tramite il browser del visitatore. La correzione passa esplicitamente l'opzione insieme ad un aggiornamento della dipendenza; il solo aggiornamento non avrebbe chiuso la vulnerabilità. Il repository non pubblica alcuna release che racchiuda la correzione, quindi il confine interessato è il commit precedente alla stessa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.