PT-2026-134207

CVE-2026-62863

Publicado

2026-10-30

Atualizado

2026-10-31

Descrição por

CVSS 3.1

9.6

Crítica

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas MoLing versões anteriores a 0.5.0

Description Ao executar no modo SSE usando a flag -l, os endpoints HTTP /sse e /message não autenticam requisições. Além disso, a dependência mcp-go define Access-Control-Allow-Origin: *, o que permite requisições de origens cruzadas. Uma página web maliciosa pode estabelecer uma conexão EventSource de origem cruzada para o endpoint /sse para obter um sessionId. Esse sessionId pode então ser usado para enviar chamadas de ferramentas MCP não autorizadas para o endpoint /message. Dependendo das ferramentas configuradas, um invasor pode executar comandos, ler ou gravar arquivos locais ou realizar outras ações não autorizadas. Este ataque mediado pelo navegador permanece possível mesmo que o servidor esteja vinculado apenas ao endereço de loopback.

Recommendations Atualize o MoLing para a versão 0.5.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores