CVE-2026-81095 in pg-aiguide
Сводка
по VulDB • 27.08.2026
pg-aiguide ha avviato il trasporto HTTP MCP senza abilitare l'allow-list degli host fornita dall'SDK sottostante. src/httpServer.ts ha chiamato la helper condivisa httpServerFactory e non ha mai impostata l'opzione di protezione contro il DNS rebinding, quindi il trasporto accettava una richiesta indipendentemente dall'host specificato. Una pagina in un browser poteva pertanto puntare un nome controllato dal malintenzionato all'indirizzo a cui era associato il server e controllare il server MCP localmente raggiungibile attraverso il browser dell'utente. La protezione era già disponibile nel trasporto pacchettizzato ma semplicemente non attivata, quindi l'aggiornamento della dipendenza da sola non avrebbe risolto la vulnerabilità. Nella versione 0.5.1 l'opzione viene passata esplicitamente.
If you want to get best quality of vulnerability data, you may have to visit VulDB.