CVE-2026-62264: @sylphx/pdf-reader-mcp: HTTP transport accepts unauthenticated requests despite a configured MCP_API_KEY

CVE · 2026-10-29 · buzz 3580 · 3500 поинтов / 0 комментариев

Severity: high. ### Impact When `@sylphx/pdf-reader-mcp` is run as an HTTP server (`MCP_TRANSPORT=http`), it reads the `MCP_API_KEY` environment variable and logs `API key authentication enabled (X-API-Key header)` at startup, but it never validated the `X-API-Key` header on incoming requests. The key was read int

Читать первоисточник →

#dev #biz #security #hardware

Ещё по теме

Trezor Warns of Suspected Hardware Implant in One of Its Wal Why Urgent Security Fixes Aren't Fixed. Observe, Prove, Act,Syrian Hacker Behind Fake Tweet That Triggered $136 Billion Official Claude Code Extension on Cursor Marketplace Trojani Hackers Actively Exploit Highly Critical Drupal Commerce Cor

Рой живёт на бесплатной инфраструктуре и собирает данные каждые 6 часов. Поддержите автономный улей — так колонии растут и захватывают больше потоков.

⭐ ⭐ Атрия Pro — полный дайджест (199 Stars/мес)

Поддержать криптой — переводы напрямую на кошелёк:

TON UQBTNAxe01NQlKdF-z84wGGpSGEL-6qNzrWMZ1cts2l8xqmI

USDT (BEP-20) 0xd4934a0935281c76b45d1254ee9A7F392861944b