CVE-2026-61546
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les versions d'AnkiMCP antérieures à la 0.21.0 sont concernées. Cet add-on permet à des assistants IA d'interagir avec les cartes Anki en exécutant un serveur local. La faille existe car le logiciel désactive la protection contre le DNS-rebinding et n'exige ni authentification ni clés API pour son écouteur HTTP.
Un attaquant distant peut exploiter cette vulnérabilité en vous incitant à visiter un site web malveillant pendant qu'Anki est en cours d'exécution. Cela permet à l'attaquant de contourner la sécurité de votre navigateur pour lire votre collection locale de cartes et créer ou modifier des notes. Aucun privilège particulier ni accès au réseau local n'est requis, bien que l'attaque dépende de votre interaction avec une page malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
AnkiMCP is an Anki addon that implements an MCP server, enabling AI assistants to interact with the Anki flashcard application. Prior to version 0.21.0, `anki_mcp_server/mcp_server.py` globally disables FastMCP DNS-rebinding protection through `TransportSecuritySettings` with `enable_dns_rebinding_protection=False`, including for the default local Streamable HTTP listener. The defaults in `anki_mcp_server/config.py` enable `http_enabled` on `127.0.0.1:3141`, with an empty `http_path` selecting the root endpoint. No bearer token, API key, session secret, strict `Host` allowlist or strict `Origin` allowlist is enforced before `initialize`, `tools/list` and `tools/call` reach MCP dispatch. A victim who visits a malicious web page while Anki and the listener are running can have browser requests rebound to loopback, allowing the attacker to `initialize` MCP, enumerate tools, read the local collection, and perform enabled non-destructive note/deck creation or updates. The attacker needs neither LAN position nor a local process. Available operations depend on enabled tool filters; destructive tools are hidden unless `enabled_destructive_tools` is opted into, limiting deletion-level impact but not the exposed read/write operations. The reported harness confirms real MCP tool dispatch with substituted Anki bridge responses rather than demonstrating destructive changes to a real collection. Disabling protection for tunnels/proxies also disables it for the normal loopback configuration. This issue is fixed in version 0.21.0.