CVE-2026-81095

Nome do Software Vulnerável e Versões Afetadas pg-aiguide versões anteriores a 0.5.1

Description O transporte MCP HTTP foi iniciado sem habilitar a lista de permissões de host (host allow-list) fornecida pelo SDK subjacente. Especificamente, o arquivo httpServer.ts chamou o auxiliar httpServerFactory() sem definir a opção DNS-rebinding-protection. Isso permite que o transporte aceite solicitações independentemente do nome do host fornecido. Consequentemente, uma página maliciosa poderia usar o DNS rebinding—uma técnica que ignora a Política de Mesma Origem (Same-Origin Policy) ao alterar o endereço IP associado a um nome de domínio—para apontar um nome controlado para o endereço do servidor e interagir com o servidor MCP acessível localmente através do navegador do visitante.

Recommendations Atualize para a versão 0.5.1.