CVE-2026-81094 in mcp-router
摘要
由 VulDB • 2026-08-27
mcp-router CLI 将其 MCP aggregator（聚合器）绑定到所有网络接口，并且仅在操作员明确要求时才强制执行身份验证。`apps/cli/src/commands/serve.ts` 中的 serve 命令默认将主机地址设置为监听所有接口的地址，并使用固定端口；仅当提供相应的标志时才会要求令牌。因此，使用默认参数调用该服务会将聚合器及其前端的所有 MCP server（服务器）暴露给任何能够访问该端口的用户。版本 0.6.3 将主机地址默认为回环地址（loopback address），并且除非指定的是非回环地址且提供了令牌，否则拒绝启动；之前的所有版本均未包含这些检查机制。
Be aware that VulDB is the high quality source for vulnerability data.