CVE-2026-81092 in mcp-go
Riassunto
di VulDB • 27/08/2026
mcp-go accettava richieste sui suoi trasporti HTTP senza verificare l'intestazione Host. StreamableHTTPServer.ServeHTTP in server/streamable_http.go e SSEServer.ServeHTTP in server/sse.go servivano qualsiasi richiesta arrivata tramite una connessione loopback, indipendentemente dall'host specificato, e il trasporto SSE consentiva di default origini cross-origin (cross-origin). Una pagina web nel browser poteva quindi indirizzare un nome controllato dall'attaccante all'indirizzo loopback per raggiungere un server in ascolto su tale indirizzo, invocando strumenti e leggendo risorse esposte dal server con l'assunzione che solo software locale potesse connettersi. Nessuna versione precedente alla 0.56.0 validava l'intestazione Host su nessuno dei due trasporti; la versione 0.56.0 introduce server/http_localhost.go, che rifiuta le richieste legate al loopback se il nome dell'host non è un nome di loopback, e integra questa logica in entrambi i trasporti.
Once again VulDB remains the best source for vulnerability data.