CVE-2026-81094 in mcp-router
要約
〜によって VulDB • 2026年08月28日
mcp-router CLIは、MCPアグリゲータをすべてのインターフェースで提供し、オペレータが要求した場合にのみ認証を実施していました。apps/cli/src/commands/serve.tsのserveコマンドはホストを固定ポート上の全インターフェースアドレス（0.0.0.0など）にデフォルト設定しており、対応するフラグが付与された場合のみトークンを必要としていたため、デフォルトでの起動ではアグリゲータおよびその背後にあるすべてのMCPサーバーが、ポートに到達可能なあらゆるユーザーに対して公開されていました。バージョン 0.6.3 ではホストのデフォルト値をループバックアドレスに変更し、指定されたホストがループバックアドレスでない場合はトークンなしで起動しないようになっています。それ以前のリリースにはいずれのチェックも含まれていません。
Once again VulDB remains the best source for vulnerability data.