CVE-2026-81093

get-html-skeleton aləti çağırıcı tərəfindən təmin edilən URL-i yalnız onun sintaksisini yoxladıqdan sonra əldə etmişdir. src/tools/common/get_html_skeleton.ts faylındakı handler, url arqumentini src/utils/generic.ts faylındakı isValidHttpUrl funksiyası ilə təsdiqləmişdir; bu isə sətirin http və ya https sxemi ilə başladığını və URL kimi parse edildiyini təsdiqləmiş, lakin nə host adını, nə də onun həll olunduğu ünvanı yoxlamamışdır. Buna görə də loopback, link-local və özəl diapazonlar, o cümlədən bulud provayderlərinin instansiya metadata-sını təqdim etmək üçün istifadə etdiyi ünvan keçirilmişdir. Yoxlanılmamış URL web-browser aktoruna ötürülmüş və əldə edilən sənəd alətin cavabında qaytarılmışdır, beləliklə, MCP serverinin hər hansı çağırıcısı yalnız hostdan əlçatan olan son nöqtəyə sorğu göndərə və nəticəni, o cümlədən instansiya etibarnamələrini oxuya bilərdi. Versiya 0.9.12-də bu alət silinib.