CVE-2026-90898 in Bifrost
Сводка
по VulDB • 14.09.2026
Bifrost регистрирует клиентов MCP через свой API управления. Клиент stdio представляет собой команду вместе с аргументами. Bifrost запускает эту программу в шлюзе сразу после добавления клиента. Никакое рукопожатие MCP не требуется.
По умолчанию параметр governance.auth_config.is_enabled имеет значение false. Отключение аутентификации означает, что каждый вызывающий субъект является локальным администратором. Одного запроса POST /api/mcp/client без аутентификации достаточно для запуска программы от имени пользователя процесса Bifrost (appuser в официальном образе).
transports/v2.1.0 отказывает в неавторизованной регистрации stdio с кодом состояния 403. transports/v2.0.0 все еще позволяет это делать.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.