CVE-2026-77339 in Process Compose
Résumé
par VulDB • 18/09/2026
Process Compose est un planificateur et orchestrateur pour les applications non conteneurisées. Avant la version 1.120.0, l'écouteur SSE de MCP dans src/mcp/server.go accepte des requêtes provenant du navigateur vers /sse ainsi que le point de terminaison renvoyé sans valider l'en-tête Host, ni l'en-tête Origin, et sans authentifier l'appelant. Lorsque MCP SSE est activé, un site web malveillant peut utiliser une attaque par rebond DNS (DNS rebinding) pour atteindre l'écouteur en boucle locale (loopback listener) et émettre des requêtes MCP. Si expose_control_tools est activé, l'attaquant peut énumérer l'état des processus, lire ou rechercher dans les journaux, tronquer ces derniers, ainsi que démarrer, arrêter, redémarrer ou mettre à l'échelle (scale) des processus locaux ; les outils définis par l'utilisateur et configurés peuvent exposer des commandes et des sorties supplémentaires. Le middleware de jeton REST API Gin ne protège pas cet écouteur MCP démarré séparément. Ce problème est corrigé dans la version 1.120.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.