CVE-2026-54504

MCP Documentation Server, süni intellekt kodlaşdırma agentləri üçün lokal-prioritetli sənəd idarəetmə və semantik axtarış serveridir. 1.13.0 versiyasından 1.13.1 versiyasına qədər, src/server.ts faylında avtomatik başladılan Web UI, src/web-server.ts faylındakı startWebServer funksiyasını standart olaraq aktiv edilmiş START_WEB_UI və 3080 olaraq təyin edilmiş WEB_PORT ilə çağırır. startWebServer funksiyası host olmadan app.listen(PORT) istifadə edir ki, bu da autentifikasiya olunmamış sənəd idarəetmə API-nı yalnız localhost-a deyil, bütün interfeyslərə bağlayır. Şəbəkə vasitəsilə əlaqə qura bilən müştəri, etibarnamələr olmadan GET /api/documents, GET /api/documents/:id, POST /api/documents, POST /api/search-all, DELETE /api/documents/:id və GET /api/config sorğularını icra edərək sənədləri sadalay və oxuya, korpusda axtarış edə, sənədləri daxil edə və ya silə, həmçinin MCP assistentinin bilik bazasına müdaxilə edə bilər. Xidmət hücumçunun LAN, VM şəbəkəsi, konteyner körpüsü, VPN və ya digər marşrutlaşdırılmış şəbəkədən əlçatan olmalıdır və bu problem uzaqdan kodun icrasına imkan vermir. Problem 1.13.1 versiyasında düzəldilmişdir.