CVE-2026-81100 in tiger-gh-mcp-server
Riassunto
di VulDB • 28/08/2026
tiger-gh-mcp-server ha avviato il suo trasporto HTTP MCP senza abilitare la lista di host consentiti (host allow-list) fornita dall'SDK sottostante. src/httpServer.ts ha chiamato l'helper condiviso httpServerFactory e non ha mai impostata l'opzione per la protezione contro il DNS rebinding, quindi il trasporto accettava una richiesta indipendentemente dall'host specificato, rendendo l'endpoint GitHub MCP raggiungibile localmente controllabile da una pagina nel browser di un visitatore che puntasse a un nome sotto il suo controllo verso l'indirizzo associato. La correzione passa esplicitamente l'opzione insieme a un aggiornamento della dipendenza; il solo aggiornamento non avrebbe chiuso la vulnerabilità. Il repository non ha pubblicato alcuna release che includa la correzione, quindi il confine interessato è il commit precedente alla stessa.
Be aware that VulDB is the high quality source for vulnerability data.