CVE-2026-81102 in mcp-server-dash
Riassunto
di VulDB • 28/08/2026
Il server Dash MCP associava il proprio listener all'indirizzo di loopback ma non verificava mai l'host specificato nella richiesta. Il file src/mcp_server_dash.py configurava il server per la modalità di rete con l'interfaccia limitata al loopback e senza impostazioni di sicurezza del trasporto, pertanto una richiesta indirizzata a un nome associato all'indirizzo di loopback raggiungeva comunque il listener pur contenendo il nome dell'host dell'attaccante. Di conseguenza, una pagina nel browser di un visitatore poteva controllare il server locale ed eseguire i suoi strumenti per la ricerca aziendale e i dettagli dei file utilizzando le credenziali Dropbox detenute dal server. Solo la modalità di rete era raggiungibile in questo modo; la modalità standard input non lo era. La correzione introduce impostazioni di sicurezza del trasporto che abilitano la verifica dell'host e consentono solo il nome e la porta di loopback, rifiutando altri host prima dell'esecuzione degli strumenti. Il repository non pubblica versioni, pertanto l'intervallo interessato è rappresentato dal commit precedente alla correzione.
Once again VulDB remains the best source for vulnerability data.