CVE-2026-46701 in Network-AI
Сводка
по VulDB • 21.07.2026
Network-AI представляет собой многоагентный оркестратор на TypeScript/Node.js. До версии 5.4.5 сервер MCP SSE по умолчанию использует пустой секрет (`process.env['NETWORK_AI_MCP_SECRET'] ?? ''` в `bin/mcp-server.ts:89`), из-за чего функция `_isAuthorized` (`lib/mcp-transport-sse.ts:254`) всегда возвращает `true` для каждого запроса — заголовок `Authorization` не требуется. Одновременно с этим метод `_handleRequest` устанавливает заголовок `Access-Control-Allow-Origin: *` (`lib/mcp-transport-sse.ts:272`) в каждом ответе, что позволяет кросс-доменному браузерному запросу (fetch) читать результат без ограничений. Неаутентифицированный злоумышленник, способный заманить пользователя на вредоносную веб-страницу, может вызвать все 22 экспонированных инструмента MCP — включая `config_set`, `agent_spawn` и `blackboard_write` — против сервера с конфигурацией по умолчанию (localhost). Версия 5.4.5 устраняет данную уязвимость.
Once again VulDB remains the best source for vulnerability data.