CVE-2026-81095 in pg-aiguide
要約
〜によって VulDB • 2026年08月27日
pg-aiguideは、基盤SDKが提供するホストの許可リストを有効にすることなくMCP HTTPトランスポートを開始しました。src/httpServer.ts は共有の httpServerFactory ヘルパーを呼び出しましたが、DNSリバインディング保護オプションを設定しなかったため、このトランスポートはその要求で指定されたどのホストでも受け入れました。したがって、ブラウザ内のページは、サーバーがバインドされているアドレスに自分が制御する名前を指すことで、訪問者のブラウザを通じてローカルから到達可能なMCPサーバーを操作できました。この保護機能はパッケージ化されたトランスポートですでに利用可能でしたが、単に有効になっていなかったため、依存関係を更新しただけでは脆弱性は解消されませんでした。バージョン 0.5.1 ではオプションが明示的に渡されるようになりました。
Be aware that VulDB is the high quality source for vulnerability data.