CVE-2026-61568
KrytyczneCVSS 9.6Streszczenie
Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.30 udostępnia punkt końcowy Streamable HTTP MCP bez skutecznej listy dozwolonych nagłówków Host lub Origin. Złośliwa strona internetowa może wykorzystać DNS rebinding do przekierowania żądań przeglądarki do lokalnego odbiornika MCP ofiary, zachowując nagłówki Host i Origin kontrolowane przez atakującego.
Ocena ryzyka
Atakujący może uzyskać dostęp do lokalnego serwera MCP ofiary i wykonywać operacje w jej imieniu, co może prowadzić do nieautoryzowanego dostępu do GitLab. Może to skutkować wyciekiem danych lub modyfikacją repozytoriów.
Rekomendacja
Należy zaktualizować @zereight/mcp-gitlab do wersji 2.1.30 lub nowszej, która zawiera poprawkę. Do czasu aktualizacji należy ograniczyć dostęp do punktu końcowego MCP oraz wdrożyć walidację nagłówków Host i Origin.
Inne podatności w @zereight/mcp-gitlab
Zobacz wszystkie- CVE-2026-61560Krytyczne
Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.27 w trybie transportu SSE (SSE=true) udostępnia wszystkie narzędzia MCP bez uwierzytelniania. Narzędzie upload_markdown odczytuje dowolne pliki z lokalnego systemu plików serwera przez nieoczyszczony parametr file_path i wysyła je do projektu GitLab.
- CVE-2026-61559Krytyczne
Serwer MCP @zereight/mcp-gitlab w wersjach od 0.0.1 do 2.1.26, przy włączonej zmiennej środowiskowej ENABLE_DYNAMIC_API_URL=true, odczytuje nagłówek HTTP X-GitLab-API-URL i używa go jako bazowego adresu dla wychodzących zapytań do API GitLab. Serwer sprawdza jedynie poprawność formatu URL, nie stosując żadnej listy dozwolonych hostów, a następnie dołącza token Private-Token ofiary do każdego przekierowanego zapytania. Wersja 2.1.27 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
`@zereight/mcp-gitlab` is a Model Context Protocol server for GitLab. Versions prior to 2.1.30 expose the Streamable HTTP MCP endpoint without an effective Host or Origin allowlist. A malicious web page can use DNS rebinding to route browser requests to a victim's local MCP listener while preserving an attacker-controlled `Host` and `Origin`. The server accepts those headers and reaches the MCP initialization path instead of rejecting the request at the HTTP boundary. Version 2.1.30 contains a patch.