PT-2026-50534 · Jovancoding · Network-Ai

Publicado 2026-06-17 · Atualizado 2026-06-18 · CVE-2026-48814

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Network-AI versões anteriores a 5.7.2

Descrição O servidor MCP SSE permite a invocação não autenticada de ferramentas MCP cross-origin porque o servidor utiliza por padrão um segredo vazio e a função isAuthorized() retorna verdadeiro quando o segredo está vazio. Embora uma atualização anterior tenha restringido o CORS para origens localhost, o servidor permanece não autenticado por padrão para chamadores que não sejam navegadores, como curl ou SSRF. Isso permite o acesso não autorizado a 22 ferramentas MCP, incluindo as funções config set, agent spawn, blackboard write e token *, especialmente quando um bind de non-loopback é utilizado.

Recomendações Atualize para a versão 5.7.2.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2026-48814

Produtos afetados

Network-Ai

Referências · 6

• https://github.com/Jovancoding/Network-AI/releases/tag/v5.7.2 · Nota
• https://github.com/Jovancoding/Network-AI/security/advisories/GHSA-r78r-rwrf-rjwp · Nota
• https://github.com/advisories/GHSA-j3vx-cx2r-pvg8 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-48814 · Nota de Segurança
• https://twitter.com/CVEnew/status/2067350979750617222 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2067402018172395698 · Publicação no Twitter