CVE-2026-77339 in Process Compose
요약
\~에 의해 VulDB • 2026. 09. 18.
Process Compose는 컨테이너화되지 않은 애플리케이션을 위한 스케줄러 및 오케스트레이터입니다. 버전 1.120.0 이전에는 src/mcp/server.go의 MCP SSE 리스너가 Host 헤더를 검증하거나 Origin 헤더를 검증하며 호출자를 인증하지 않고 브라우저에서 기원한 요청을 /sse 엔드포인트와 반환된 메시지 엔드포인트로 수락합니다. MCP SSE가 활성화되어 있으면 악성 웹사이트가 DNS rebinding을 사용하여 루프백 리스너에 접근하고 MCP 요청을 발행할 수 있습니다. expose_control_tools가 활성화되면 공격자는 프로세스 상태를 열거하거나, 로그를 읽거나 검색하며, 로그를 트렁크(잘라내기)하고, 로컬 프로세스의 시작, 중지, 재시작 또는 스케일링을 수행할 수 있으며; 구성된 사용자 정의 도구는 추가 명령과 출력을 노출시킬 수 있습니다. Gin REST API 토큰 미들웨어는 별도로 시작된 이 MCP 리스너를 보호하지 않습니다. 이 문제는 버전 1.120.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.