Avishai Gonen

**Nome do Software Vulnerável e Versões Afetadas** mcp-go versões anteriores a 0.56.0 **Description** O software aceita requisições em seus transportes HTTP sem validar o cabeçalho Host. Especificamente, a função `StreamableHTTPServer.ServeHTTP` em `server/streamable http.go` e a função `SSEServer.ServeHTTP` em `server/sse.go` processam qualquer requisição que chegue via conexão de loopback, independentemente do host especificado. Além disso, a configuração padrão do transporte Server-Sent Events (SSE) permite qualquer origem. Isso permite que uma página em um navegador aponte um nome controlado para o endereço de loopback e acesse o servidor, potencialmente invocando ferramentas e lendo recursos destinados apenas a softwares locais. **Recommendations** Atualize para a versão 0.56.0.

**Nome do Software Vulnerável e Versões Afetadas** pg-aiguide versões anteriores a 0.5.1 **Description** O transporte MCP HTTP foi iniciado sem habilitar a lista de permissões de host (host allow-list) fornecida pelo SDK subjacente. Especificamente, o arquivo `httpServer.ts` chamou o auxiliar `httpServerFactory()` sem definir a opção `DNS-rebinding-protection`. Isso permite que o transporte aceite solicitações independentemente do nome do host fornecido. Consequentemente, uma página maliciosa poderia usar o DNS rebinding—uma técnica que ignora a Política de Mesma Origem (Same-Origin Policy) ao alterar o endereço IP associado a um nome de domínio—para apontar um nome controlado para o endereço do servidor e interagir com o servidor MCP acessível localmente através do navegador do visitante. **Recommendations** Atualize para a versão 0.5.1.

**Nome do Software Vulnerável e Versões Afetadas** ToolUniverse versões anteriores a 1.3.0 **Descrição** O software executa código Python fornecido pelo usuário dentro de um sandbox que pode ser evadido. O executor em `python executor tool.py` utiliza uma lista de negação para nomes de atributos e chamadas, mas não bloqueia atributos dunder acessados via buscas de string ou módulos permitidos. Isso permite que um invasor navegue da classe de um literal para sua base e enumere subclasses para obter referências aos módulos `process` e `subprocess`. Além disso, um argumento por chamada permite que o usuário amplie a lista de permissões de importação antes da inspeção. Os servidores HTTP e MCP em `http api server.py` e `smcp server.py` vinculam-se a todas as interfaces com a depuração ativada e sem autenticação, permitindo que qualquer usuário com acesso à rede na porta execute código como o processo do servidor. **Recomendações** Atualize para a versão 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Software versões 1.4.0 through 1.6.0 **Description** A ferramenta `execute ruby`, projetada como um sandbox Ruby de apenas leitura, utiliza uma denylist de padrões e substituições para métodos de spawn de processos no `Kernel` para restringir a execução. No entanto, os pontos de entrada de spawn na biblioteca de pseudo-terminal não estão incluídos na denylist nem foram substituídos. Isso permite que uma chamada de ferramenta acesse esses pontos de entrada e inicie um shell, possibilitando a execução de comandos com a conta que executa o servidor, ignorando os métodos protegidos. **Recommendations** Atualize para a versão 1.6.1 para restringir os requires permitidos a uma lista apenas de dados e bloquear o despacho dinâmico para pontos de entrada de execução. Atualize para a versão 2.0.0 para remover a ferramenta completamente.

**Nome do Software Vulnerável e Versões Afetadas** Telnyx MCP server (versões afetadas não especificadas) **Descrição** O transporte HTTP estava exposto em todas as interfaces de rede e não exigia credenciais do chamador. No arquivo `packages/mcp-server/src/http.ts`, o servidor fornecia o Model Context Protocol (MCP) no caminho raiz com um listener vinculado a todas as interfaces. A lógica de análise do cabeçalho de autenticação não falhava quando as credenciais estavam ausentes, permitindo que requisições não autenticadas completassem a inicialização e disparassem ferramentas. Consequentemente, o servidor encaminhava suas próprias credenciais armazenadas, incluindo a chave de API da Telnyx, o segredo do cliente e a chave de execução de código, para o endpoint upstream, permitindo que qualquer chamador com acesso à rede na porta agisse com esses privilégios. **Recomendações** Atualize o servidor para uma versão onde o host seja definido por padrão como loopback, seja exigida uma chave de API do servidor e a aplicação seja reforçada via middleware.

tiger-slack started its MCP HTTP transport without enabling the host allow-list the underlying SDK provides. mcp/src/httpServer.ts called the shared httpServerFactory helper and never set the DNS-rebinding-protection option, so the transport accepted a request whatever host it named, and a page in a browser could point a name it controlled at the address the server was bound to and drive the locally reachable Slack MCP server through the visitor's browser. The fix passes the option explicitly alongside a dependency update; the update alone would not have closed it. The repository publishes no release that brackets the fix, so the affected boundary is the commit preceding it.

**Nome do Software Vulnerável e Versões Afetadas** tiger-gh-mcp-server versões anteriores ao commit que implementou a correção **Description** O transporte MCP HTTP foi iniciado sem habilitar a lista de permissões de host (host allow-list) fornecida pelo SDK subjacente. Especificamente, o arquivo `httpServer.ts` chamou o auxiliar `httpServerFactory()` sem definir a opção `DNS-rebinding-protection`. Isso permite que o transporte aceite solicitações independentemente do nome do host fornecido, possibilitando um ataque de DNS rebinding, onde um endpoint GitHub MCP acessível localmente pode ser controlado por meio do navegador de um visitante que aponte um nome controlado para o endereço vinculado. DNS rebinding é uma técnica usada para ignorar a Política de Mesma Origem (SOP) para interagir com serviços locais. **Recommendations** Atualize o software para a versão que contém a correção que passa explicitamente a opção `DNS-rebinding-protection` e inclui a atualização de dependência necessária.

**Nome do Software Vulnerável e Versões Afetadas** versões anteriores a 0.2.5 **Description** O comando `configure` permite o armazenamento de URLs de endpoint arbitrárias juntamente com o token de acesso do usuário. Especificamente, a função `ConfigureCommand.execute()` em `src/cli.ts` salva o valor fornecido à opção `endpoint` no perfil do usuário sem utilizar a função `createSafeUrl()` em `src/config.ts`, que é projetada para restringir as configurações aos hosts autorizados do fornecedor via HTTPS. Como a lógica de conexão em `src/mcp.ts` anexa o token armazenado como uma credencial bearer em cada requisição enviada ao endpoint configurado, um invasor poderia persuadir um usuário a configurar um endpoint malicioso, resultando no envio do token de acesso pessoal do usuário para o invasor em cada invocação subsequente. **Recommendations** Atualize para a versão 0.2.5.

**Nome do Software Vulnerável e Versões Afetadas** Dash MCP server (versões afetadas não especificadas) **Descrição** No modo de rede, o servidor vincula seu listener ao endereço de loopback, mas não verifica o nome do host das requisições recebidas. No arquivo `src/mcp server dash.py`, o servidor é configurado sem definições de segurança de transporte, permitindo que requisições direcionadas ao endereço de loopback alcancem o listener mesmo que carreguem um nome de host controlado por um invasor. Isso permite que uma página maliciosa no navegador de um visitante interaja com o servidor local e execute as ferramentas `company-search` e `file-detail` utilizando as credenciais do Dropbox detidas pelo servidor. Este problema afeta apenas o modo de rede e não impacta o modo de entrada padrão. **Recomendações** Atualize o servidor para o commit mais recente que implementa configurações de segurança de transporte para habilitar a verificação de host e restringir o acesso ao nome e porta de loopback. Como medida de mitigação temporária, evite usar o modo de rede e utilize o modo de entrada padrão.

**Nome do Software Vulnerável e Versões Afetadas** UI-TARS-desktop mcp-http-server versão 1.2.4 (anterior ao commit c2ad42e3eb9b27830db41a3e6f51ca7179d9b168) **Description** O arquivo `startServer.ts` no pacote `mcp-http-server` define o endereço de escuta padrão como `::` quando nenhum host é fornecido. Isso faz com que a função `startSseAndStreamableHttpMcpServer` vincule os transportes Streamable HTTP e SSE MCP a todas as interfaces de rede. Como o middleware de autenticação é opcional e não é fornecido pelos pontos de entrada `@agent-infra/mcp-server-commands` e `@agent-infra/mcp-server-filesystem`, esses servidores não exigem credenciais. Consequentemente, um cliente não autenticado pode acessar a ferramenta `run command`, que passa a entrada para `promisify(child process.exec)`, permitindo a execução de comandos arbitrários como o usuário que executa o servidor. Da mesma forma, o servidor de sistema de arquivos expõe ferramentas de leitura e gravação de arquivos para usuários não autenticados. **Recommendations** Atualize o pacote `mcp-http-server` para a versão que contenha o commit c2ad42e3eb9b27830db41a3e6f51ca7179d9b168 para garantir que o endereço de escuta padrão seja 127.0.0.1.