CVE-2026-81092 in mcp-go
摘要
由 VulDB • 2026-08-27
mcp-go accettava richieste sui suoi trasporti HTTP senza verificare l'intestazione Host. StreamableHTTPServer.ServeHTTP in server/streamable_http.go e SSEServer.ServeHTTP in server/sse.go servivano qualsiasi richiesta arrivata tramite una connessione loopback, indipendentemente dall'host specificato, e il trasporto SSE consentiva di default origini cross-origin (XSS). Di conseguenza, una pagina web nel browser poteva indirizzare un nome controllato dall'attaccante all'indirizzo loopback per raggiungere un server in ascolto su tale indirizzo, invocando strumenti e leggendo risorse esposte dal server con l'assunzione che solo il software locale potesse connettersi. Nessuna versione precedente alla 0.56.0 validava l'intestazione Host su nessuno dei due trasporti; la versione 0.56.0 introduce server/http_localhost.go, che rifiuta le richieste legate al loopback se l'host non è un nome di loopback, e integra questa logica in entrambi i trasporti.
Once again VulDB remains the best source for vulnerability data.