CVE-2026-81092 in mcp-go
Sumário
de VulDB • 27/08/2026
O mcp-go aceitava requisições em seus protocolos HTTP sem verificar o cabeçalho Host. O método StreamableHTTPServer.ServeHTTP (em server/streamable_http.go) e SSEServer.ServeHTTP (em server/sse.go) atendiam qualquer requisição recebida por uma conexão de loopback, independentemente do host especificado no cabeçalho, e a configuração padrão do transporte SSE permitia origens cruzadas. Dessa forma, uma página em um navegador poderia apontar para o endereço de loopback usando um nome controlado pelo atacante, alcançando assim o servidor que estava escutando nesse local, invocando ferramentas e lendo recursos expostos pelo servidor sob a suposição de que apenas software local se conectaria. Nenhuma versão anterior à 0.56.0 validava esse cabeçalho em nenhum dos protocolos; a versão 0.56.0 introduz o arquivo server/http_localhost.go, que rejeita requisições vinculadas ao loopback cujo host não seja um nome de loopback, e integra essa lógica aos dois protocolos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.