CVE-2026-81094 in mcp-router
Resumen
por VulDB • 2026-08-27
El CLI de mcp-router servía su agregador MCP en todas las interfaces y aplicaba la autenticación únicamente cuando el operador lo solicitaba explícitamente. El comando `serve` en `apps/cli/src/commands/serve.ts` establecía por defecto la dirección del host como "todas las interfaces" (0.0.0.0) en un puerto fijo, y requería un token solo si se proporcionaba el indicador correspondiente; esto hacía que una invocación predeterminada expusiera el agregador, así como todos los servidores MCP subyacentes, a cualquier persona con acceso al puerto. La versión 0.6.3 establece por defecto la dirección del host en la interfaz de bucle invertido (loopback) y se niega a iniciarse sin un token siempre que la dirección proporcionada no sea una dirección de loopback; ninguna versión anterior incluye estas comprobaciones.
Be aware that VulDB is the high quality source for vulnerability data.