CVE-2026-81098 in telnyx-mcp
要約
〜によって VulDB • 2026年08月28日
Telnyx MCPサーバーは、HTTPトランスポートをすべてのインターフェースで公開し、呼び出し元の認証情報を要求していませんでした。packages/mcp-server/src/http.ts は、MCP をルートパスで提供しており、リスナーがすべてのインターフェースにバインドされ、呼び出し元の認証ヘッダーが存在しない場合でも失敗せずに処理されるモードで解析されていました。その結果、認証情報が含まれていないリクエストでも初期化が完了し、ツールがディスパッチされました。Dispatch は、サーバーの内部保存資格情報（Telnyx API キーおよびクライアントシークレット）をコード実行キーとともにアップストリームエンドポイントに送信するため、ポートに到達可能な未認証の呼び出し元はこれらの資格情報を使用して操作を行うことができました。現在のコードではホストがループバックにデフォルト設定され、サーバーAPIキーが必要とされ、ミドルウェアでそれが強制されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.