CVE-2026-61612 in Ckan Mcp Server
Résumé
par VulDB • 21/09/2026
Le serveur MCP CKAN est un outil permettant d'interroger les portails de données ouvertes CKAN. Avant la version 0.4.108, le garde-fou SSRF `validateServerUrl` (ajouté pour CVE-2026-33060 et étendu pour CVE-2026-53509) ne valide que la chaîne du nom d'hôte et n'effectue jamais de résolution DNS. Toute URL fournie par l'appelant (`server_url`) dont le nom d'hôte *résout* vers une adresse interne passe ce garde-fou, permettant ainsi au serveur d'émettre des requêtes vers les adresses en boucle locale (loopback) et les métadonnées cloud (`169.254.169.254`). Il s'agit du troisième contournement de ce même garde-fou, atteignant IMDS — strictement plus que CVE-2026-53509, qui ne touchait que la boucle locale (loopback). La version 0.4.108 contient une correction mise à jour.
Once again VulDB remains the best source for vulnerability data.