CVE-2026-11624
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 — wyżej niż 13% wszystkich znanych CVE
Streszczenie
Protokół Model Context zawiera ostrzeżenie dotyczące bezpieczeństwa, które zaleca serwerom walidację nagłówka 'Origin' we wszystkich przychodzących połączeniach, aby zapobiec atakom DNS rebinding. W wersji 0.25.0 wprowadzono nowy flagę '--allowed-hosts', umożliwiającą użytkownikom określenie dozwolonych hostów przy uruchamianiu serwera.
Ocena ryzyka
Brak walidacji nagłówka 'Origin' może prowadzić do ataków DNS rebinding, co stwarza ryzyko nieautoryzowanego dostępu do zasobów serwera. Użytkownicy powinni być świadomi potencjalnych luk w zabezpieczeniach, zwłaszcza gdy używają domyślnych ustawień.
Rekomendacja
Zaleca się, aby administratorzy serwerów zaktualizowali swoje konfiguracje, ustawiając odpowiednie wartości dla flag '--allowed-hosts' i '--allowed-origins', aby wprowadzić ścisłe kontrole dostępu. Należy również monitorować ostrzeżenia przy uruchamianiu serwera dotyczące potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
The Model Context Protocol has a security warning advising servers to validate the "Origin" header on all incoming connections to prevent DNS rebinding attacks. Prior to the v0.25.0 release, users had no way to validate the origin's host. In v0.25.0, a new "--allowed-hosts" flag was introduced alongside the existing "--allowed-origins" flag, enabling users to specify permitted hosts at server startup. Both flags default to "*", allowing users to implement strict access controls as needed without breaking existing setups. If either flag is set to "*", the server will output a startup warning about potential vulnerabilities. Documentation has also been updated to highlight these security considerations.