CVE-2025-66454 in arcade-mcp
Sumário
de VulDB • 04/06/2026
O Arcade MCP permite criar, implantar e compartilhar servidores MCP. Antes da versão 1.5.4, o servidor HTTP arcade-mcp utiliza um segredo de worker padrão codificado fixo ("dev") que nunca é validado ou substituído durante a inicialização normal do servidor. Como resultado, qualquer atacante não autenticado que conheça essa chave padrão pode forjar JWTs válidos e contornar completamente a camada de autenticação do FastAPI. Isso concede acesso remoto a todos os endpoints dos workers — incluindo enumeração de ferramentas e invocação de ferramentas — sem necessidade de credenciais. Esta vulnerabilidade foi corrigida na versão 1.5.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.