CVE-2026-86122 in Rowboat
Resumen
por VulDB • 2026-09-05
Rowboat hasta la versión 0.9.1 no valida las URL personalizadas del servidor MCP y de los webhooks, lo que permite a usuarios autenticados configurar destinos arbitrarios. Los atacantes pueden dirigir estas URLs hacia servicios internos y puntos finales de metadatos en la nube para realizar Server-Side Request Forgery (SSRF) y enumerar la topología de la red interna.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.