PT-2026-65504 · Github · Github Mcp Server

CVE-2026-47427 · Publicado 2026-07-28 · Atualizado 2026-07-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas GitHub MCP Server versões anteriores a 1.1.0

Description Ocorre uma desreferenciação de ponteiro nulo na função CompletionsHandler() em pkg/github/server.go ao processar uma requisição completion/complete. O problema surge porque o servidor acessa a variável params.Ref sem verificar se ela é nula. Um cliente não autenticado pode disparar um pânico do runtime do Go enviando uma mensagem JSON-RPC com o campo ref ausente ou vazio. Como essa falha ocorre antes da autenticação ou validação de token, ela permite que qualquer cliente capaz de enviar tais mensagens cause uma negação de serviço completa.

Recommendations Atualize o GitHub MCP Server para a versão 1.1.0.

Exploit

Correção

NULL Pointer Dereference

Enumeração de Fraquezas

CWE-476

Identificadores relacionados

CVE-2026-47427

GHSA-W4Q6-QW23-4RG7

Produtos afetados

Github Mcp Server

Referências · 7

• 🔥 https://github.com/github/github-mcp-server/security/advisories/GHSA-w4q6-qw23-4rg7 · Exploit
• https://github.com/github/github-mcp-server/pull/2502 · Nota
• https://github.com/github/github-mcp-server/commit/c88d2ecdd3bb07f7bdd75296e3ee676febf14f58 · Nota
• https://github.com/github/github-mcp-server/releases/tag/v1.1.0 · Nota
• https://github.com/github/github-mcp-server · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-47427 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-w4q6-qw23-4rg7 · Aviso do Fabricante