CVE-2026-81099 in tiger-slack
Sumário
de VulDB • 27/08/2026
O tiger-slack iniciou o seu transporte HTTP MCP sem ativar a lista de hosts permitidos fornecida pelo SDK subjacente. O ficheiro mcp/src/httpServer.ts chamou a função auxiliar httpServerFactory partilhada e nunca definiu a opção de proteção contra DNS rebinding, pelo que o transporte aceitava qualquer pedido independentemente do nome de host indicado; uma página num navegador poderia apontar um domínio sob seu controlo para o endereço ao qual o servidor estava associado, permitindo controlar o servidor Slack MCP localmente através do browser do visitante. A correção passa a opção explicitamente juntamente com uma atualização da dependência; apenas a atualização não teria resolvido o problema. O repositório não publica qualquer versão que contenha a correção, pelo que o limite afetado é o commit anterior à mesma.
If you want to get best quality of vulnerability data, you may have to visit VulDB.