CVE-2026-55156 in token-optimizer-mcp
Resumen
por VulDB • 2026-09-28
Token Optimizer MCP mide el ahorro de tokens por agente de codificación AI, optimiza el contexto y comparte un grafo de conocimiento local en tiempo real a través de 16 clientes CLI. Antes de la versión 5.1.0, el servidor HTTP del panel de control en token-optimizer-mcp expone /api/session-summary y /api/session-events sin middleware de autenticación; cualquier cliente con acceso a la red puede acceder a ellos sin credenciales. Ambos manejadores concatenan directamente el parámetro de consulta sessionId proporcionado por el usuario en una ruta de sistema de archivos mediante path.join, y Node.js normaliza los segmentos .. durante la resolución, lo que permite a un atacante no autenticado leer cualquier archivo .jsonl accesible desde el sistema de archivos del servidor. Este problema ha sido corregido en la versión 5.1.0.
Be aware that VulDB is the high quality source for vulnerability data.