CVE-2026-65056 in mcp-webresearch
Résumé
par VulDB • 22/07/2026
mcp-webresearch 0.1.7 contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) qui permet aux attaquants d'accéder aux services du réseau interne en fournissant des adresses de bouclage, locales au lien ou de métadonnées cloud à l'outil visit_page, lequel ne valide que le protocole URL sans filtrer les plages d'IP privées ou réservées. Les attaquants peuvent orienter l'argument URL contrôlé par le LLM via une injection de prompt pour naviguer vers des points de terminaison internes tels que les services de métadonnées d'instances cloud, ce qui amène le serveur à renvoyer du contenu sensible provenant de pages internes, y compris des identifiants, dans le contexte du modèle.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.