CVE-2026-55156

Nome do Software Vulnerável e Versões Afetadas token-optimizer-mcp versões anteriores a 5.1.0

Description O servidor HTTP do painel de controle não possui middleware de autenticação para os endpoints '/api/session-summary' e '/api/session-events', permitindo que qualquer cliente com acesso à rede os acesse sem credenciais. Esses manipuladores utilizam o parâmetro de consulta sessionId para construir um caminho de sistema de arquivos via path.join. Como o Node.js normaliza sequências de travessia de diretório (..), um invasor não autenticado pode ler qualquer arquivo .jsonl acessível no sistema de arquivos do servidor. Isso permite a exfiltração de logs de sessão contendo invocações de ferramentas, saídas de hooks e dados de uso de tokens.

Recommendations Atualize para a versão 5.1.0. Como medida de mitigação temporária, restrinja o acesso de rede ao servidor HTTP do painel ou implemente uma lista de permissões rigorosa para o parâmetro sessionId para rejeitar caracteres como / e .