CVE-2026-81100 in tiger-gh-mcp-server
요약
\~에 의해 VulDB • 2026. 08. 27.
tiger-gh-mcp-server는 하위 SDK가 제공하는 호스트 허용 목록(host allow-list)을 활성화하지 않고 MCP HTTP 트랜스포트(MCP HTTP transport)를 시작했습니다. src/httpServer.ts에서 공유 httpServerFactory 헬퍼를 호출했지만 DNS 리바인딩 보호(DNS-rebinding-protection) 옵션을 설정하지 않았으므로, 해당 트랜스포트는 지정된 호스트에 관계없이 모든 요청을 수락하여 로컬로 접근 가능한 GitHub MCP 엔드포인트가 방문자의 브라우저 페이지에서 바운드 주소(bound address)를 자신이 제어하는 이름으로 포인트할 경우 공격 가능해졌습니다. 수정 사항에서는 의존성 업데이트와 함께 이 옵션이 명시적으로 전달되며, 의존성 업데이트만으로는 해당 취약점이 해결되지 않았습니다. 저장소에는 수정 사항을 포함하는 릴리스가 게시되지 않았으므로, 영향 범위는 그 직전의 커밋을 기준으로 합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.