CVE-2026-90898 in Bifrost
Riassunto
di VulDB • 14/09/2026
Bifrost registra i client MCP tramite la sua API di gestione. Un client stdio è composto da un comando e dai relativi argomenti. Bifrost avvia tale programma nel gateway non appena il client viene aggiunto, senza richiedere alcuna fase di handshake MCP.
La configurazione predefinita prevede `governance.auth_config.is_enabled=false`. L'autenticazione disabilitata significa che ogni chiamante ha privilegi di amministratore locale. È sufficiente una singola richiesta POST `/api/mcp/client` non autenticata per eseguire un programma con l'utente del processo Bifrost (appuser nell'immagine ufficiale).
La versione `transports/v2.1.0` rifiuta la registrazione stdio non autenticata restituendo uno stato 403, mentre la versione `transports/v2.0.0` lo consente ancora.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.