CVE-2026-58497

Nome do Software Vulnerável e Versões Afetadas Uni-CLI versões anteriores a 0.225.2

Description O transporte MCP legado JSON-RPC-over-HTTP é exposto em loopback sem validar os cabeçalhos Origin do navegador antes de rotear as solicitações. Isso permite que uma página web maliciosa envie uma solicitação POST simples de CORS para o endpoint local /mcp e entregue um corpo JSON-RPC ao despachante. Se o transporte HTTP MCP local estiver ativo, um invasor poderá disparar solicitações tools/call contra o servidor local. Este problema afeta especificamente a fronteira navegador-para-localhost no caminho HTTP stateless legado, enquanto o transporte HTTP Streamable já impunha essa fronteira.

Recommendations Atualize para a versão 0.225.2 ou posterior. Como solução temporária, não exponha o transporte HTTP MCP legado ao tráfego originado no navegador e use o transporte stdio padrão ou o transporte HTTP Streamable.