CVE-2026-81092 in mcp-go
Tóm tắt
Bởi VulDB • 28/08/2026
mcp-go chấp nhận các yêu cầu trên các phương thức truyền tải HTTP của nó mà không kiểm tra tiêu đề Host. StreamableHTTPServer.ServeHTTP trong server/streamable_http.go và SSEServer.ServeHTTP trong server/sse.go phục vụ bất kỳ yêu cầu nào đến qua kết nối loopback, bất kể tên máy chủ (host) được chỉ định là gì; đồng thời, mặc định cho phép truy cập khác nguồn gốc (cross-origin) của phương thức truyền tải SSE cũng cho phép mọi nguồn gốc. Do đó, một trang web trong trình duyệt có thể trỏ một tên do nó kiểm soát vào địa chỉ loopback và tiếp cận máy chủ đang lắng nghe tại đó, từ đó kích hoạt các công cụ và đọc các tài nguyên mà máy chủ cung cấp dựa trên giả định rằng chỉ phần mềm cục bộ mới có thể kết nối. Không có bản phát hành nào trước phiên bản 0.56.0 xác thực tiêu đề này trên cả hai phương thức truyền tải; phiên bản 0.56.0 bổ sung server/http_localhost.go, vốn từ chối các yêu cầu gắn với loopback mang theo tên máy chủ không phải là tên loopback, và tích hợp nó vào cả hai phương thức truyền tải.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.