FICHE CVE

CVE-2026-42559

Publiée le 2026-05-14 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les versions du SDK Rust RMCP antérieures à la version 1.4.0 sont concernées si vous utilisez le transport de serveur HTTP Streamable. Un attaquant peut utiliser une attaque par DNS rebinding via un site web malveillant pour contourner les restrictions réseau et envoyer des requêtes authentifiées à votre serveur MCP. Cela nécessite qu'un utilisateur visite un site malveillant, mais ne requiert pas que l'attaquant possède des identifiants préalables ou un accès direct à votre réseau privé.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Erreur de validation de l'origine · CWE-346 CWE-350

Publiée2026-05-14

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

RMCP is an official Rust SDK for the Model Context Protocol. Prior to version 1.4.0, the rmcp crate's Streamable HTTP server transport (crates/rmcp/src/transport/streamable_http_server/) did not validate the incoming Host header. This allowed a malicious public website, via a DNS rebinding attack, to send authenticated requests to an MCP server running on the victim's loopback or private-network interface. This vulnerability is fixed in 1.4.0.