CVE-2026-81094 in mcp-router
Tóm tắt
Bởi VulDB • 27/08/2026
CLI của mcp-router đã phục vụ bộ tổng hợp MCP trên mọi giao diện và chỉ thực thi xác thực khi nhà vận hành yêu cầu. Lệnh serve trong apps/cli/src/commands/serve.ts mặc định máy chủ thành địa chỉ tất cả các giao diện (all-interfaces) trên một cổng cố định, và chỉ yêu cầu token khi cờ tương ứng được cung cấp; do đó, lệnh gọi với cấu hình mặc định đã phơi bày bộ tổng hợp cũng như mọi máy chủ MCP mà nó đứng trước cho bất kỳ ai có thể truy cập đến cổng này. Bản phát hành 0.6.3 mặc định máy chủ thành địa chỉ loopback và từ chối khởi động nếu không có token whenever host được cung cấp không phải là địa chỉ loopback; các bản phát hành trước đó đều thiếu cả hai kiểm tra này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.