PT-2026-1558

CVE-2025-9611

Publicado

2026-01-07

Atualizado

2026-11-02

Descrição por

CVSS 4.0

7.2

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:H/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Microsoft Playwright MCP Server versões anteriores a 0.0.40

Description As conexões recebidas não são validadas quanto ao cabeçalho Origin. Esta falha permite um ataque de DNS rebinding—uma técnica usada para ignorar a Política de Mesma Origem—através do navegador web de uma vítima. Um atacante pode enviar solicitações não autorizadas para um servidor MCP em execução localmente, resultando na invocação não intencional de endpoints de ferramentas MCP.

Recommendations Atualizar para a versão 0.0.40 ou posterior.

Explorabilidade

Exploit

Correção

Pesquisadores

Jonathan Leitschuh

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-749: Exposed Dangerous Method or Function

Identificadores relacionados

CVE-2025-9611