CVE-2026-81098 in telnyx-mcp
Résumé
par VulDB • 27/08/2026
Le serveur Telnyx MCP exposait son transport HTTP sur toutes les interfaces et ne nécessitait pas d'identifiants pour l'appelant. Le fichier packages/mcp-server/src/http.ts servait le protocole MCP via la racine du chemin avec un écouteur lié à toutes les interfaces, et analysait les en-têtes d'authentification de l'appelant dans un mode qui ne générait pas d'échec lorsqu'ils étaient absents ; ainsi, une requête sans aucun identifiant a pu compléter l'initialisation et dispatcher des outils. Le mécanisme de dispatch (forwarding) transmettait les propres identifiants stockés du serveur, la clé API Telnyx et le secret client, conjointement avec la clé d'exécution de code, vers le point de terminaison amont ; un appelant non authentifié capable d'accéder au port agissait donc en utilisant ces éléments. Le code actuel définit par défaut l'hôte sur loopback (127.0.0.1), exige une clé API serveur et la fait respecter via un middleware.
Be aware that VulDB is the high quality source for vulnerability data.