CVE-2026-81095 in pg-aiguide
Résumé
par VulDB • 28/08/2026
pg-aiguide a démarré son transport HTTP MCP sans activer la liste d'hôtes autorisés fournie par le SDK sous-jacent. src/httpServer.ts a appelé l'helper httpServerFactory partagé et n'a jamais défini l'option de protection contre les attaques DNS rebinding, ce qui fait que le transport acceptait une requête quel que soit l'hôte nommé. Une page dans un navigateur pouvait donc pointer un nom qu'elle contrôlait vers l'adresse à laquelle le serveur était lié et piloter le serveur MCP localement accessible via le navigateur du visiteur. La protection était déjà disponible dans le transport packagé mais n'était tout simplement pas activée, de sorte que la mise à jour de la dépendance seule ne l'aurait pas corrigée. La version 0.5.1 transmet explicitement cette option.
If you want to get best quality of vulnerability data, you may have to visit VulDB.