CVE-2026-81092

Nome do Software Vulnerável e Versões Afetadas mcp-go versões anteriores a 0.56.0

Description O software aceita requisições em seus transportes HTTP sem validar o cabeçalho Host. Especificamente, a função StreamableHTTPServer.ServeHTTP em server/streamable http.go e a função SSEServer.ServeHTTP em server/sse.go processam qualquer requisição que chegue via conexão de loopback, independentemente do host especificado. Além disso, a configuração padrão do transporte Server-Sent Events (SSE) permite qualquer origem. Isso permite que uma página em um navegador aponte um nome controlado para o endereço de loopback e acesse o servidor, potencialmente invocando ferramentas e lendo recursos destinados apenas a softwares locais.

Recommendations Atualize para a versão 0.56.0.