CVE-2026-77339

Process Compose konteynerləşdirilməmiş tətbiqlər üçün planlayıcı və orkestratordur. 1.120.0 versiyasından əvvəl src/mcp/server.go faylındakı MCP SSE dinləyicisi Host başlığını yoxlamadan, Origin başlığını təsdiqləmədən və ya çağıranı autentifikasiya etmədən /sse ünvanına və qaytarılan mesaj son nöqtəsinə brauzer mənşəli sorğuları qəbul edir. MCP SSE aktiv olduqda, zərərli veb sayt DNS rebinding üsulundan istifadə edərək loopback dinləyicinə çata və MCP sorğuları göndərə bilər. Əgər expose_control_tools aktivdirsə, hücumçu proses vəziyyətini sadalayabilir, loqları oxuya və ya axtara, loqları kəsə, habelə yerli prosesləri başlada, dayandıra, yenidən başlada və ya miqyaslandıra bilər; konfiqurasiya edilmiş istifadəçi tərəfindən təyin olunan alətlər əlavə əmrləri və çıxışları üzə çıxara bilər. Gin REST API token middleware-i ayrıca başladılmış bu MCP dinləyicisini qorumur. Bu problem 1.120.0 versiyasında düzəldilib.