CVE-2026-51994
NieznaneStreszczenie
mcp-remote w wersjach 0.1.32 do 0.1.38 jest podatny na Server-Side Request Forgery (SSRF) przez URL resource_metadata wyodrębniony z nagłówka WWW-Authenticate zdalnego serwera MCP.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonywania nieautoryzowanych żądań w imieniu serwera, co może prowadzić do ujawnienia wewnętrznych zasobów lub ataków na inne systemy.
Rekomendacja
Zaktualizuj mcp-remote do wersji, która zawiera poprawkę dla tej podatności.
Inne podatności w mcp-remote
Zobacz wszystkie- CVE-2026-52001Nieznane
W geelen mcp-remote w wersjach 0.1.18 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu uzyskać wrażliwe informacje przez transport SSE w funkcji eventSourceInit fetch wrapper w src/lib/utils.ts.
- CVE-2026-51997Nieznane
W geelen mcp-remote w wersjach 0.1.16 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu wykonać dowolny kod przez funkcje open().
- CVE-2026-51996Nieznane
W geelen mcp-remote w wersjach 0.1.16 do 0.1.38 istnieje problem, który pozwala zdalnemu atakującemu wykonać dowolny kod przez src/lib/utils.ts oraz funkcję getServerUrlHash.
Oryginalny opis (angielski, źródło NVD)
mcp-remote versions 0.1.32 through 0.1.38 are vulnerable to Server-Side Request Forgery (SSRF) via the resource_metadata URL extracted from a remote MCP server's WWW-Authenticate header