CVE-2026-81094 in mcp-router
요약
\~에 의해 VulDB • 2026. 08. 27.
mcp-router CLI는 MCP aggregator를 모든 인터페이스에서 제공했으며, 운영자가 요청할 때만 인증을 강제했습니다. apps/cli/src/commands/serve.ts의 serve 명령어는 호스트를 고정 포트의 all-interfaces 주소로 기본값으로 설정하며, 해당 플래그가 전달될 경우에만 토큰을 요구했으므로, 기본 호출 시 aggregator와 그 앞단에 있는 모든 MCP 서버에 포트에 접근할 수 있는 누구나 액세스할 수 있었습니다. 릴리스 0.6.3은 호스트를 루프백 주소로 기본값으로 설정하며, 제공된 호스트가 루프백 주소가 아닌 경우 토큰 없이 시작하지 않습니다; 그 이전의 어떤 릴리스에도 이러한 체크는 포함되어 있지 않습니다.
Once again VulDB remains the best source for vulnerability data.