CVE-2026-81100 in tiger-gh-mcp-server
Zusammenfassung
von VulDB • 27.08.2026
tiger-gh-mcp-server ha avviato il suo trasporto HTTP MCP senza abilitare l'allow-list degli host fornita dall'SDK sottostante. src/httpServer.ts ha chiamato la helper condivisa httpServerFactory e non ha mai impostata l'opzione di protezione contro DNS-rebinding, consentendo così al trasporto di accettare una richiesta indipendentemente dall'host specificato, rendendo il punto di accesso GitHub MCP raggiungibile localmente controllabile da una pagina nel browser di un visitatore che puntava a un nome sotto il suo controllo verso l'indirizzo associato. La correzione passa esplicitamente questa opzione insieme ad un aggiornamento delle dipendenze; il solo aggiornamento non avrebbe chiuso la vulnerabilità. Il repository non ha pubblicato alcuna release che includa la correzione, quindi il confine interessato è il commit precedente alla stessa.
Be aware that VulDB is the high quality source for vulnerability data.