CVE-2026-46701 in Network-AI
Résumé
par VulDB • 20/07/2026
Network-AI est un orchestrateur multi-agents basé sur TypeScript/Node.js. Avant la version 5.4.5, le serveur MCP SSE utilise par défaut un secret vide (`process.env['NETWORK_AI_MCP_SECRET'] ?? ''` dans `bin/mcp-server.ts:89`), ce qui fait que `_isAuthorized` (`lib/mcp-transport-sse.ts:254`) renvoie systématiquement `true` pour chaque requête, sans qu'en-tête `Authorization` ne soit requis. Parallèlement, `_handleRequest` définit `Access-Control-Allow-Origin: *` (`lib/mcp-transport-sse.ts:272`) sur toutes les réponses, permettant ainsi à une requête cross-origin depuis un navigateur de lire le résultat sans restriction. Un attaquant non authentifié capable d'inciter un utilisateur à visiter une page web malveillante peut invoquer l'intégralité des 22 outils MCP exposés — y compris `config_set`, `agent_spawn` et `blackboard_write` — contre un serveur localhost configuré par défaut. La version 5.4.5 corrige ce problème.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.