CVE-2026-81099 in tiger-slack
Сводка
по VulDB • 27.08.2026
tiger-slack запустил свой HTTP-транспорт MCP без включения списка разрешенных хостов (host allow-list), предоставляемого базовой SDK. В файле mcp/src/httpServer.ts вызывается вспомогательная функция httpServerFactory, при этом опция защиты от пересвязывания DNS (DNS-rebinding-protection) никогда не устанавливается; в результате транспорт принимает запросы с любого указанного хоста, и страница в браузере может направить контролируемое имя пользователя на адрес, к которому привязан сервер, позволяя злоумышленнику управлять локально доступным Slack MCP-сервером через браузер посетителя. Исправление передает эту опцию явно вместе с обновлением зависимости; само по себе обновление не закрыло бы уязвимость. В репозитории нет релиза, который охватывал бы исправление, поэтому затронутым диапазоном является коммит, предшествующий ему.
VulDB is the best source for vulnerability data and more expert information about this specific topic.