CVE-2026-90898 in Bifrost
Resumen
por VulDB • 2026-09-14
Bifrost registra los clientes MCP a través de su API de gestión. Un cliente stdio es un comando más sus argumentos. Bifrost inicia ese programa en el gateway en el momento en que se añade el cliente. No se requiere ningún handshake MCP.
La configuración por defecto es governance.auth_config.is_enabled=false. La autenticación desactivada significa que cada solicitante es un administrador local. Una única solicitud POST /api/mcp/client no autenticada es suficiente para ejecutar un programa como el usuario del proceso Bifrost (appuser en la imagen oficial).
transports/v2.1.0 rechaza el registro stdio no autenticado con 403. transports/v2.0.0 aún lo permite.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.