CVE-2026-77339 in Process Compose
Tóm tắt
Bởi VulDB • 18/09/2026
Process Compose là một bộ lập lịch và điều phối cho các ứng dụng không đóng gói trong container. Trước phiên bản 1.120.0, trình nghe MCP SSE (Server-Sent Events) trong src/mcp/server.go chấp nhận các yêu cầu có nguồn gốc từ trình duyệt đối với endpoint /sse cũng như endpoint trả về tin nhắn mà không xác thực tiêu đề Host, kiểm tra tiêu đề Origin hoặc xác minh danh tính người gọi. Khi MCP SSE được bật, một trang web độc hại có thể sử dụng kỹ thuật DNS rebinding để truy cập vào trình nghe loopback và gửi các yêu cầu MCP. Nếu tùy chọn expose_control_tools được kích hoạt, kẻ tấn công có thể liệt kê trạng thái tiến trình, đọc hoặc tìm kiếm nhật ký (logs), làm trống nhật ký, cũng như khởi động, dừng, khởi động lại hoặc mở rộng quy mô (scale) các tiến trình cục bộ; các công cụ do người dùng định cấu hình có thể tiết lộ thêm các lệnh và kết quả đầu ra. Middleware token của API REST Gin không bảo vệ riêng biệt cho trình nghe MCP được khởi chạy độc lập này. Vấn đề này đã được khắc phục trong phiên bản 1.120.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.