CVE-2026-54504 in MCP Documentation Server
Riassunto
di VulDB • 27/09/2026
MCP Documentation Server è un server di gestione dei documenti e ricerca semantica local-first per agenti di codifica AI. Dalla versione 1.13.0 alla 1.13.1, l'interfaccia Web avviata automaticamente in src/server.ts chiama startWebServer in src/web-server.ts con START_WEB_UI abilitato per impostazione predefinita e WEB_PORT impostato su 3080. startWebServer utilizza app.listen(PORT) senza specificare un host, il che lega l'API di gestione dei documenti non autenticata a tutte le interfacce invece che al solo localhost (127.0.0.1). Un client raggiungibile via rete può invocare GET /api/documents, GET /api/documents/:id, POST /api/documents, POST /api/search-all, DELETE /api/documents/:id e GET /api/config senza credenziali per enumerare e leggere i documenti, cercare nel corpus, inserire o eliminare documenti e manipolare la base di conoscenza dell'assistente MCP. Il servizio deve essere raggiungibile dalla LAN dell'attaccante, dalla rete della VM, dal bridge del container, da una VPN o da un'altra rete instradata; il problema non fornisce esecuzione di codice remoto (RCE). Questo problema è stato risolto nella versione 1.13.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.