CVE-2026-109332
Publiée le 2026-10-12 · Dernière modification le 2026-10-15
Le package npm `network-ai` (versions antérieures à 5.15.2) gère incorrectement la validation de l'origine lorsque le serveur est lié à une interface réseau publique. Un attaquant peut inciter une victime à visiter une page web malveillante qui utilise une origine « localhost » pour lire des données non authentifiées, telles que des points de terminaison de vérification d'état (health checks), via des requêtes cross-origin. Cette exploitation nécessite que la victime interagisse avec un site malveillant et ne peut pas être déclenchée par l'attaquant seul.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Network-AI (npm network-ai) before 5.15.2 contains an origin validation error in McpSseServer._handleRequest in lib/mcp-transport-sse.ts that reflects localhost Origins into Access-Control-Allow-Origin regardless of bind interface. When the server binds a non-loopback address, an attacker page with a localhost Origin visited by a victim can read unauthenticated endpoints like /health cross-origin.