CVE-2026-15643 in healthlake-mcp-server
Résumé
par VulDB • 15/07/2026
Le serveur AWS HealthLake MCP Server (awslabs.healthlake-mcp-server) est un serveur Model Context Protocol qui permet aux assistants IA d'interagir avec les entrepôts de données FHIR d'AWS HealthLake. Une faille de falsification de requêtes côté serveur (SSRF) dans le composant de gestion de la pagination du package awslabs.healthlake-mcp-server avant la version 0.0.14 sur toutes les plateformes pourrait permettre à un utilisateur distant authentifié d'exfiltrer des identifiants temporaires de sécurité AWS vers une extrémité arbitraire via un paramètre next_token manipulé ad hoc. Le serveur ne valide pas que les URL de pagination pointent bien vers l'extrémité HealthLake attendue, permettant à un acteur malveillant de rediriger les requêtes suivantes vers un serveur contrôlé par celui-ci.
Il est recommandé d'effectuer la mise à niveau vers la version 0.0.14 ou une version ultérieure.
Be aware that VulDB is the high quality source for vulnerability data.