CVE-2026-54504

MCP Documentation Server, AI kodlama ajanları için yerel öncelikli bir belge yönetimi ve anlamsal arama sunucusudur. 1.13.0 ile 1.13.1 sürümleri arasında, src/server.ts içinde otomatik olarak başlatılan Web UI, src/web-server.ts içindeki startWebServer fonksiyonunu varsayılan olarak START_WEB_UI etkin ve WEB_PORT 3080 olarak ayarlanmış şekilde çağırır. startWebServer, bir ana bilgisayar (host) belirtmeden app.listen(PORT) kullanır; bu durum, kimlik doğrulaması gerektirmeyen belge yönetimi API'sinin yalnızca localhost yerine tüm arayüzlere bağlanmasına neden olur. Ağ üzerinden erişebilen bir istemci; belgeleri listelemek ve okumak, gövde metninde arama yapmak, belge eklemek veya silmek ve MCP asistanının bilgi tabanına müdahale etmek için herhangi bir kimlik bilgisi olmadan GET /api/documents, GET /api/documents/:id, POST /api/documents, POST /api/search-all, DELETE /api/documents/:id ve GET /api/config uç noktalarını çağırabilir. Servisin saldırganın LAN, VM ağı, konteyner köprüsü, VPN veya başka bir yönlendirilmiş ağ üzerinden erişilebilir olması gerekir ve bu sorun uzaktan kod çalıştırma imkanı sağlamaz. Bu sorun 1.13.1 sürümünde düzeltilmiştir.