CVE-2026-35577

Name of the Vulnerable Software and Affected Versions Apollo MCP Server versões anteriores a 1.7.0

Description O Apollo MCP Server, um servidor de Protocolo de Contexto de Modelo que expõe operações GraphQL, não validava o cabeçalho Host em solicitações HTTP recebidas ao usar o transporte StreamableHTTP. Isso poderia permitir que um site malicioso, visitado por um usuário executando o servidor localmente, ignorasse as restrições de mesma origem usando técnicas de rebind de DNS e enviasse solicitações ao servidor MCP local. A exploração bem-sucedida poderia permitir que um invasor invocasse ferramentas ou acessasse recursos expostos pelo servidor MCP em nome do usuário local. Este problema é limitado ao transporte StreamableHTTP baseado em HTTP e não afeta servidores que usam o transporte stdio.

Recommendations Atualize para a versão 1.7.0 ou posterior.