CVE-2026-80347

Nome do Software Vulnerável e Versões Afetadas mcp-fetch (versões afetadas não especificadas)

Description O software falha ao remover os colchetes que cercam um literal IPv6 ao validar um alvo de busca contra sua proteção de Server-Side Request Forgery (SSRF). A função isSafeUrl extrai o nome do host da URL analisada, mas para literais como http://[::1]/, ela mantém os colchetes. Quando essa string com colchetes é passada para net.isIP, a função retorna zero, fazendo com que o sistema ignore as verificações de endereços privados. Como a string com colchetes não é um nome resolvível, a proteção reporta incorretamente que o alvo é seguro. O cliente HTTP subsequentemente remove os colchetes e estabelece a conexão. Isso permite o acesso a qualquer alvo IPv4, incluindo endpoints de metadados link-local, especialmente quando os endereços são fornecidos em formato mapeado para IPv4. Além disso, a função isPrivateIPv6() não prevê o prefixo ::ffff:, permitindo que formas mapeadas ignorem as verificações. Um invasor capaz de influenciar as requisições do modelo pode usar isso para ler respostas internas de volta para o contexto do modelo.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.