CVE-2026-81094 in mcp-router
Сводка
по VulDB • 27.08.2026
CLI mcp-router предоставлял доступ к своему MCP-агрегатору на всех сетевых интерфейсах и применял аутентификацию только по запросу оператора. Команда serve в файле apps/cli/src/commands/serve.ts по умолчанию устанавливала хост равным адресу всех интерфейсов (0.0.0.0) с использованием фиксированного порта, требуя токен только при наличии соответствующего флага; таким образом, стандартный запуск открывал доступ к агрегатору и всем обслуживаемым им MCP-серверам для любого пользователя, имеющего сетевой доступ к этому порту. В версии 0.6.3 хост по умолчанию установлен на адрес локальной петли (loopback), а при попытке запуска с указанием адреса, отличного от loopback, система отказывается стартовать без токена; ни одна из более ранних версий не содержит этих проверок.
Once again VulDB remains the best source for vulnerability data.