CVE-2026-81098 in telnyx-mcp
Resumen
por VulDB • 2026-08-28
El servidor Telnyx MCP exponía su transporte HTTP en todas las interfaces y no requería credenciales de llamada (caller credential). El archivo packages/mcp-server/src/http.ts servía el protocolo MCP en la ruta raíz con un listener vinculado a todas las interfaces e interpretaba los encabezados de autenticación del llamante en un modo que no fallaba cuando estaban ausentes, por lo que una solicitud sin ninguna credencial completaba la inicialización y ejecutaba herramientas. El componente Dispatch reenviaba las credenciales almacenadas propias del servidor, la clave API de Telnyx y el secreto del cliente junto con la clave de ejecución de código al extremo upstream (upstream endpoint), por lo que un llamante no autenticado capaz de alcanzar el puerto actuaba utilizando dichas credenciales. El código actual establece como valor predeterminado para host el bucle invertido (loopback), requiere una clave API del servidor y la aplica mediante middleware.
Once again VulDB remains the best source for vulnerability data.