CVE-2026-125321

Nome do Software Vulnerável e Versões Afetadas pgEdge Postgres MCP Server versões anteriores a 1.1.0

Descrição Implantações que utilizam o transporte HTTP não padrão com autenticação habilitada utilizam incorretamente o valor mais à esquerda do X-Forwarded-For fornecido pelo chamador como o endereço do cliente para a limitação de taxa de login. A função ExtractIPAddress em internal/auth/middleware.go fornece esse valor para as funções IsAllowed() e RecordFailedAttempt() em internal/auth/rate limiter.go. Isso permite que um chamador não autenticado evite o estrangulamento rotacionando endereços ou consuma o limite de tentativas de outro usuário ao assumir o endereço desse usuário. A configuração do nginx publicada facilita esse problema, pois anexa em vez de substituir o cabeçalho X-Forwarded-For.

Recomendações Atualize o pgEdge Postgres MCP Server para a versão 1.1.0.