CVE-2026-47427

Nome do Software Vulnerável e Versões Afetadas GitHub MCP Server versões anteriores a 1.1.0

Description Ocorre uma desreferenciação de ponteiro nulo na função CompletionsHandler() em pkg/github/server.go ao processar uma requisição completion/complete. O problema surge porque o servidor acessa a variável params.Ref sem verificar se ela é nula. Um cliente não autenticado pode disparar um pânico do runtime do Go enviando uma mensagem JSON-RPC com o campo ref ausente ou vazio. Como essa falha ocorre antes da autenticação ou validação de token, ela permite que qualquer cliente capaz de enviar tais mensagens cause uma negação de serviço completa.

Recommendations Atualize o GitHub MCP Server para a versão 1.1.0.