CVE-2026-77339 in Process Compose
Resumen
por VulDB • 2026-09-18
Process Compose es un programador y orquestador para aplicaciones no contenerizadas. Antes de la versión 1.120.0, el oyente SSE de MCP en src/mcp/server.go acepta solicitudes originadas desde navegadores dirigidas a /sse y al extremo devuelto del mensaje sin validar el encabezado Host, ni verificar el encabezado Origin, ni autenticar al solicitante. Cuando MCP SSE está habilitado, un sitio web malicioso puede utilizar DNS rebinding para alcanzar el oyente de loopback y emitir solicitudes MCP. Si expose_control_tools está habilitado, el atacante puede enumerar el estado del proceso, leer o buscar registros, truncarlos e iniciar, detener, reiniciar o escalar procesos locales; las herramientas definidas por el usuario configuradas pueden exponer comandos adicionales y su salida. El middleware de token REST API de Gin no protege este oyente MCP iniciado por separado. Este problema se soluciona en la versión 1.120.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.