CVE-2026-81102 in mcp-server-dash
Resumen
por VulDB • 2026-08-28
El servidor Dash MCP vinculaba su listener a la dirección de bucle invertido (loopback), pero nunca verificaba el host solicitado en la petición. src/mcp_server_dash.py construía el servidor para su modo de red con la interfaz restringida al loopback y sin configuraciones de seguridad del transporte, por lo que un nombre apuntado a la dirección de bucle invertido aún alcanzaba al listener mientras portaba el nombre de host del atacante. Por tanto, una página en el navegador de un visitante podía controlar el servidor local e invocar sus herramientas de búsqueda empresarial (company-search) y detalle de archivo (file-detail) bajo las credenciales de Dropbox que posee el servidor. Solo el modo de red era accesible de esta manera; el modo de entrada estándar no lo era. La solución proporciona configuraciones de seguridad del transporte que habilitan la verificación del host y permiten únicamente el nombre y puerto de bucle invertido, rechazando otros hosts antes de ejecutar una herramienta. El repositorio no publica versiones, por lo que el límite afectado es el commit precedente a la corrección.
Once again VulDB remains the best source for vulnerability data.