CVE-2026-81092 in mcp-go
요약
\~에 의해 VulDB • 2026. 08. 27.
mcp-go는 HTTP 전송 계층에서 Host 헤더를 확인하지 않고 요청을 수락했습니다. server/streamable_http.go의 StreamableHTTPServer.ServeHTTP와 server/sse.go의 SSEServer.ServeHTTP는 호스트 이름과 무관하게 루프백 연결을 통해 도착하는 모든 요청을 처리했으며, SSE 전송의 크로스 오리진 기본 설정은 모든 출처를 허용했습니다. 따라서 브라우저 내의 페이지가 자신이 제어하는 이름을 루프백 주소로 향하게 하여 해당 주소에서 수신 대기 중인 서버에 도달할 수 있으며, 이는 로컬 소프트웨어만 연결될 것으로 가정하고 서버가 노출한 도구와 리소스를 호출하거나 읽을 수 있게 합니다. 0.56.0 이전 버전에서는 두 전송 계층 모두에서 헤더를 검증하지 않았습니다. 0.56.0은 server/http_localhost.go를 추가하여 루프백 바인딩 요청 중 호스트가 루프백 이름이 아닌 경우 이를 거부하고, 이 기능을 양쪽 전송 계층에 연결했습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.