CVE-2026-81094 in mcp-router
Riassunto
di VulDB • 27/08/2026
Il CLI mcp-router serviva il suo aggregatore MCP su ogni interfaccia e applicava l'autenticazione solo quando operativamente richiesto. Il comando serve in apps/cli/src/commands/serve.ts impostava di default l'host sull'indirizzo per tutte le interfacce su una porta fissa, richiedendo un token solo se veniva fornito il flag corrispondente; pertanto, un'avvio con i valori predefiniti esponeva l'aggregatore e tutti i server MCP da esso frontati a chiunque fosse in grado di raggiungere la porta. La versione 0.6.3 imposta di default l'host sull'indirizzo loopback e rifiuta l'avvio senza un token ogni volta che l'host fornito non è un indirizzo loopback; nessuna delle versioni precedenti include tali controlli.
Once again VulDB remains the best source for vulnerability data.