Veille sécuritéBackend & données
P3Élevée
Dans mcp-sanitizer avant 1.4.0, la validation d’URL peut laisser passer des cibles localhost avec un port explicite ainsi que certaines adresses IPv6 de bouclage ou de lien local. Mettre à niveau vers 1.4.0 ; en attendant, bloquer ces destinations avant toute requête sortante.
Node.js
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.4.0
Source : GHSA-4mfg-r38w-w8fg
Analyse technique
Le contrôle de localhost est conditionné à l’absence de port ; les crochets des adresses IPv6 peuvent empêcher les comparaisons de nom d’hôte attendues.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28, dans la période retenue.
ImpactUne application qui utilise le validateur avant d’effectuer des requêtes HTTP peut être amenée à contacter des services internes.
Versions affectées< 1.4.0
Version corrigée1.4.0
ContournementValider les destinations séparément et bloquer localhost, les adresses de bouclage et les adresses de lien local.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-10-28T19:51:39Z
Mise à jour2026-10-28T19:51:40Z
Action recommandée
Mettre à niveau mcp-sanitizer vers 1.4.0.
Sources
Priorisation DFS : P3 · 1 source(s).