CVE-2026-61560
KrytyczneCVSS 9.8Streszczenie
Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.27 w trybie transportu SSE (SSE=true) udostępnia wszystkie narzędzia MCP bez uwierzytelniania. Narzędzie upload_markdown odczytuje dowolne pliki z lokalnego systemu plików serwera przez nieoczyszczony parametr file_path i wysyła je do projektu GitLab.
Ocena ryzyka
Nieuwierzytelniony atakujący z dostępem sieciowym może odczytać /proc/self/environ i ukraść token GITLAB_PERSONAL_ACCESS_TOKEN, uzyskując pełne przejęcie konta GitLab. Jest to domyślna konfiguracja wdrożeń Docker.
Rekomendacja
Należy zaktualizować @zereight/mcp-gitlab do wersji 2.1.27 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji należy wyłączyć tryb SSE lub ograniczyć dostęp sieciowy do serwera MCP.
Inne podatności w @zereight/mcp-gitlab
Zobacz wszystkie- CVE-2026-61568Krytyczne
Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.30 udostępnia punkt końcowy Streamable HTTP MCP bez skutecznej listy dozwolonych nagłówków Host lub Origin. Złośliwa strona internetowa może wykorzystać DNS rebinding do przekierowania żądań przeglądarki do lokalnego odbiornika MCP ofiary, zachowując nagłówki Host i Origin kontrolowane przez atakującego.
- CVE-2026-61559Krytyczne
Serwer MCP @zereight/mcp-gitlab w wersjach od 0.0.1 do 2.1.26, przy włączonej zmiennej środowiskowej ENABLE_DYNAMIC_API_URL=true, odczytuje nagłówek HTTP X-GitLab-API-URL i używa go jako bazowego adresu dla wychodzących zapytań do API GitLab. Serwer sprawdza jedynie poprawność formatu URL, nie stosując żadnej listy dozwolonych hostów, a następnie dołącza token Private-Token ofiary do każdego przekierowanego zapytania. Wersja 2.1.27 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
`@zereight/mcp-gitlab` is a Model Context Protocol server for GitLab. Prior to version 2.1.27, the SSE transport mode (`SSE=true`) exposes all MCP tools without any authentication. The `upload_markdown` tool reads arbitrary files from the server's local filesystem via an unsanitized `file_path` parameter and uploads them to a GitLab project. Combined, any unauthenticated network-reachable attacker can read `/proc/self/environ` to steal the server's `GITLAB_PERSONAL_ACCESS_TOKEN` and achieve full GitLab account takeover. This is the default configuration for Docker deployments. Version 2.1.27 contains a patch.