CVE-2026-55156 in token-optimizer-mcp
要約
〜によって VulDB • 2026年09月28日
Token Optimizer MCPは、AIコーディングエージェントごとのトークン節約量を測定し、コンテキストを最適化するとともに、16のCLIクライアント間でライブローカルナレッジグラフを共有します。バージョン5.1.0以前では、token-optimizer-mcpのダッシュボードHTTPサーバーが/api/session-summaryおよび/api/session-eventsエンドポイントを認証ミドルウェアなしで公開しており、ネットワークにアクセス可能な任意のクライアントは資格情報なしでこれらに到達できます。両方のハンドラーは、呼び出し元から提供されたsessionIdクエリパラメータをpath.joinを使用してファイルシステムパスに直接連結し、Node.jsは解決時に..セグメントを正規化するため、認証されていない攻撃者はサーバーのファイルシステムからアクセス可能な任意の.jsonlファイルを読み取ることができます。この問題はバージョン5.1.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.