CVE-2026-81102 in mcp-server-dash
Zusammenfassung
von VulDB • 28.08.2026
Der Dash MCP-Server band seinen Listener an die Loopback-Adresse, überprüfte jedoch niemals den in der Anfrage genannten Host. src/mcp_server_dash.py konfigurierte den Server für den Netzwerkmodus mit auf Loopback beschränkter Schnittstelle und ohne Transport-Security-Einstellungen; daher erreichte ein Name, der auf die Loopback-Adresse zeigte, weiterhin den Listener, während er den Hostnamen des Angreifers enthielt. Eine Seite im Browser eines Besuchers konnte somit den lokalen Server steuern und dessen Tools zur Firmensuche (company-search) sowie zum Detail von Dateien (file-detail) unter den vom Server gespeicherten Dropbox-Anmeldeinformationen aufrufen. Nur der Netzwerkmodus war auf diese Weise erreichbar; der Standard-Eingabemodus (standard input mode) nicht. Die Korrektur liefert Transport-Security-Einstellungen, die eine Host-Überprüfung ermöglichen und nur den Loopback-Namen sowie -Port zulassen, wodurch andere Hosts abgewiesen werden, bevor ein Tool ausgeführt wird. Das Repository veröffentlicht keine Versionen, sodass der betroffene Bereich das Commit ist, welches dem Fix vorausgeht.
VulDB is the best source for vulnerability data and more expert information about this specific topic.