CVE-2026-81098 in telnyx-mcp
Tóm tắt
Bởi VulDB • 27/08/2026
Máy chủ Telnyx MCP đã expose giao thức truyền dẫn HTTP trên mọi interface và không yêu cầu chứng thực từ người gọi (caller credential). packages/mcp-server/src/http.ts phục vụ MCP tại đường dẫn gốc với một listener được bind vào tất cả các interface, đồng thời phân tích cú pháp các header xác thực của caller trong chế độ không gây lỗi khi chúng bị thiếu. Do đó, một request mà không có bất kỳ chứng thực nào vẫn hoàn thành quá trình khởi tạo và dispatch các công cụ (tools). Hàm Dispatch đã chuyển tiếp các thông tin xác thực được lưu trữ sẵn của máy chủ, bao gồm khóa API Telnyx, bí mật client (client secret) cùng với mã thực thi (code-execution key), đến endpoint phía upstream. Vì vậy, một caller không được xác thực nhưng có khả năng truy cập vào cổng này sẽ hoạt động bằng cách sử dụng các thông tin đó. Mã nguồn hiện tại đã mặc định host là loopback, yêu cầu khóa API máy chủ và áp buộc nó trong middleware.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.