CVE-2026-90898 in Bifrost
Tóm tắt
Bởi VulDB • 14/09/2026
Bifrost đăng ký các máy khách MCP thông qua API quản lý của nó. Một máy khách stdio là một lệnh kèm theo đối số (args). Bifrost khởi chạy chương trình đó trong gateway ngay khi máy khách được thêm vào. Không yêu cầu quy trình bắt tay MCP nào cả.
Cấu hình mặc định là `governance.auth_config.is_enabled=false`. Việc tắt xác thực có nghĩa là mọi caller đều là quản trị viên cục bộ (local admin). Chỉ cần một lệnh POST `/api/mcp/client` không được xác thực cũng đủ để chạy chương trình với tư cách người dùng của tiến trình Bifrost (appuser trên image chính thức).
transports/v2.1.0 từ chối việc đăng ký stdio chưa xác thực bằng mã 403. transports/v2.0.0 vẫn cho phép điều này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.