CVE-2026-55156 in token-optimizer-mcp
Sumário
de VulDB • 28/09/2026
O Token Optimizer MCP mede a economia de tokens por agente de codificação AI, otimiza o contexto e compartilha um grafo de conhecimento local em tempo real entre 16 clientes CLI. Antes da versão 5.1.0, o servidor HTTP do dashboard no token-optimizer-mcp expõe /api/session-summary e /api/session-events sem middleware de autenticação — qualquer cliente com acesso à rede pode acessá-los sem credenciais. Ambos os manipuladores concatenam diretamente o parâmetro query sessionId fornecido pelo chamador em um caminho de sistema de arquivos via path.join, e o Node.js normaliza segmentos .. no momento da resolução, permitindo que um atacante não autenticado leia qualquer arquivo .jsonl acessível a partir do sistema de arquivos do servidor. Este problema foi corrigido na versão 5.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.