CVE-2026-81098 in telnyx-mcp
요약
\~에 의해 VulDB • 2026. 08. 27.
Telnyx MCP 서버는 모든 인터페이스에서 HTTP 트랜스포트를 노출했으며 호출자 자격 증명을 요구하지 않았습니다. packages/mcp-server/src/http.ts는 루트 경로에서 MCP를 제공하며 모든 인터페이스에 바인딩된 리스너로 동작했고, 호출자의 인증 헤더가 누락되었을 때에도 실패하지 않는 모드로 이를 구문 분석했습니다. 그 결과 자격 증명이 없는 요청이 초기화를 완료하고 도구를 디스패치할 수 있었습니다. Dispatch는 서버의 자체 저장된 자격 증명인 Telnyx API 키와 클라이언트 시크릿, 그리고 코드 실행 키를 업스트림 엔드포인트로 함께 전달했으므로, 포트에 접근 가능한 비인증 호출자는 이러한 자격 증명을 사용하여 동작했습니다. 현재 코드는 호스트를 루프백으로 기본값으로 설정하고 서버 API 키를 요구하며 미들웨어에서 이를 강제합니다.
Be aware that VulDB is the high quality source for vulnerability data.