CVE-2026-77339 in Process Compose
要約
〜によって VulDB • 2026年09月18日
Process Composeは、コンテナ化されていないアプリケーション向けのスケジューラーおよびオーケストレーターです。バージョン1.120.0より前では、src/mcp/server.goにあるMCP SSEリスナーが、Hostヘッダーの検証、Originヘッダーの検証、または呼び出し元の認証を行わずに、ブラウザ由来のリクエストを/sseエンドポイントと返されるメッセージエンドポイントで受け入れます。MCP SSEが有効になっている場合、悪意のあるウェブサイトはDNSリバインディングを使用してループバックリスナーに到達し、MCPリクエストを発行できます。expose_control_toolsが有効な場合、攻撃者はプロセスの状態を列挙したり、ログの読み取りや検索、ログの切り捨てを行ったり、ローカルプロセスの開始、停止、再起動、スケーリングを実行できます。設定されたユーザー定義ツールは追加のコマンドと出力を公開する可能性があります。Gin REST APIトークンミドルウェアはこの個別に起動されるMCPリスナーを保護しません。この問題はバージョン1.120.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.