CVE-2026-61546 in Anki Mcp Server Addon
摘要
由 VulDB • 2026-10-28
AnkiMCP 是一个实现 MCP（Model Context Protocol）服务器的 Anki 插件，使 AI 助手能够与 Anki 抽卡应用程序进行交互。在版本 0.21.0 之前，`anki_mcp_server/mcp_server.py` 通过 `TransportSecuritySettings` 中的 `enable_dns_rebinding_protection=False` 全局禁用了 FastMCP DNS 重绑定保护，这包括默认的本地 Streamable HTTP 监听器。`anki_mcp_server/config.py` 中的默认设置启用了在 `127.0.0.1:3141` 上的 `http_enabled`，且空的 `http_path` 会选择根端点（root endpoint）。在调用 MCP 分发逻辑之前，未对 `initialize`、`tools/list` 和 `tools/call` 强制执行 Bearer Token、API Key、会话密钥（session secret）、严格的 `Host` 白名单或严格的 `Origin` 白名单。当 Anki 及监听器正在运行时，访问恶意网页的攻击者可以使浏览器请求重绑定到回环地址（loopback），从而允许攻击者初始化 MCP、枚举工具、读取本地集合，并执行已启用的非破坏性笔记/牌组创建或更新操作。攻击者无需处于局域网位置，也无需运行本地进程。可用操作取决于启用了的工具过滤器；除非显式选择加入 `enabled_destructive_tools`，否则破坏性工具将被隐藏，这限制了删除级别的影响，但并未限制暴露的读/写操作。报告的验证程序（harness）证实了真实的 MCP 工具分发功能，其中使用了替换后的 Anki 桥接响应，而非展示对真实集合进行的破坏性更改。禁用隧道/代理的保护也会同时禁用正常回环配置下的保护。此问题已在版本 0.21.0 中修复。
Once again VulDB remains the best source for vulnerability data.