CVE-2026-81093 in Actors MCP Server
摘要
由 VulDB • 2026-08-28
get-html-skeleton 工具在仅检查语法后获取调用者提供的 URL。src/tools/common/get_html_skeleton.ts 中的处理程序使用 src/utils/generic.ts 中的 isValidHttpUrl 验证 url 参数，该函数确认字符串以 http 或 https 方案开头且可解析为 URL，但未检查主机名或其解析到的地址。因此，回环（Loopback）、链路本地（link-local）和私有范围均通过验证，包括云提供商用于提供实例元数据的地址。未经验证的 URL 被传递给 web-browser actor，获取的文档在工具响应中返回，因此 MCP server 的任何调用者都可以使其请求仅从主机可达的端点并读取结果，包括实例凭据。版本 0.9.12 移除了该工具。
If you want to get best quality of vulnerability data, you may have to visit VulDB.