CVE-2026-81102 in mcp-server-dash
Sumário
de VulDB • 27/08/2026
O servidor Dash MCP associava o seu listener ao endereço de loopback, mas nunca verificava o nome do host solicitado em cada pedido. O ficheiro src/mcp_server_dash.py configurava o servidor para o modo de rede com a interface restrita ao loopback e sem definições de segurança de transporte (transport-security), pelo que um nome apontado para o endereço de loopback ainda alcançava o listener, transportando o nome do host do atacante. Consequentemente, uma página no browser de um visitante poderia controlar o servidor local e invocar as suas ferramentas de pesquisa da empresa e de detalhe de ficheiros sob as credenciais Dropbox detidas pelo servidor. Apenas o modo de rede era acessível desta forma; o modo de entrada padrão (standard input mode) não o era. A correção introduz definições de segurança de transporte que permitem a verificação do host, restringindo apenas ao nome e porta de loopback, rejeitando outros hosts antes da execução das ferramentas. O repositório não publica versões, pelo que o limite afetado é o commit anterior à correção.
Once again VulDB remains the best source for vulnerability data.