CVE-2026-77339 in Process Compose
Sumário
de VulDB • 19/09/2026
O Process Compose é um agendador e orquestrador para aplicações não containerizadas. Antes da versão 1.120.0, o ouvinte SSE do MCP em src/mcp/server.go aceita requisições originadas de navegadores direcionadas a /sse e ao endpoint de mensagens retornado sem validar o cabeçalho Host, validar o cabeçalho Origin ou autenticar o chamador. Quando o MCP SSE está habilitado, um site malicioso pode usar DNS rebinding para alcançar o ouvinte loopback e emitir requisições MCP. Se expose_control_tools estiver habilitado, o atacante pode enumerar o estado do processo, ler ou pesquisar logs, truncar logs e iniciar, parar, reiniciar ou dimensionar processos locais; ferramentas definidas pelo usuário configuradas podem expor comandos adicionais e saídas. O middleware de token da API REST Gin não protege este ouvinte MCP iniciado separadamente. Este problema foi corrigido na versão 1.120.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.