CVE-2026-54504 in MCP Documentation Server
सारांश
द्वारा VulDB • 18/09/2026
MCP Documentation Server एक local-first document management और semantic search server है जो AI coding agents के लिए बनाया गया है। संस्करण 1.13.0 से लेकर 1.13.1 तक, src/server.ts में स्वचालित रूप से शुरू होने वाला Web UI, START_WEB_UI को डिफ़ॉल्ट रूप से सक्षम और WEB_PORT को 3080 पर सेट करके src/web-server.ts में startWebServer को कॉल करता है। startWebServer app.listen(PORT) का उपयोग बिना किसी host के करता है, जिससे unauthenticated document-management API सभी इंटरफ़ेस (all interfaces) से बंध जाता है न कि केवल localhost से। एक network-reachable client प्रमाणपत्रों (credentials) के बिना GET /api/documents, GET /api/documents/:id, POST /api/documents, POST /api/search-all, DELETE /api/documents/:id और GET /api/config को invoke कर सकता है ताकि documents की enumeration और पढ़ाई, corpus में खोज, documents का इनसर्ट या डिलीट, तथा MCP assistant के knowledge base से हेरफेर किया जा सके। सेवा हमलावर (attacker) के LAN, VM network, container bridge, VPN, या किसी अन्य routed network से reachable होनी चाहिए, और इस समस्या से remote code execution नहीं होता है। यह मुद्दा संस्करण 1.13.1 में ठीक कर दिया गया है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.