CVE-2026-81102 in mcp-server-dash
要約
〜によって VulDB • 2026年08月28日
Dash MCP サーバーはリスナーをループバックアドレスにバインドしていましたが、リクエストで指定されたホストを確認しませんでした。src/mcp_server_dash.py は、インターフェースがループバックに制限され、トランスポートセキュリティ設定がない状態でネットワークモードのサーバーを構築したため、ループバックアドレスに向けられた名前であっても、攻撃者のホスト名を含むリクエストはリスナーに到達しました。これにより、訪問者のブラウザ上のページからローカルサーバーを操作し、サーバーが保持する Dropbox 資格情報を使用して company-search および file-detail ツールを呼び出すことが可能になりました。この方法でアクセスできたのはネットワークモードのみであり、標準入力モードは対象外でした。修正では、ホストチェックを有効にし、ループバック名とポートのみを許可して他のホストからのリクエストをツール実行前に拒否するトランスポートセキュリティ設定が提供されました。当該リポジトリにはバージョン番号の公開がないため、影響を受ける境界は修正前のコミットとなります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.