Veille sécuritéBackend & données
P4Moyenne
Dans pgEdge Postgres MCP Server, le transport HTTP ne validait pas l’en-tête Origin, ce qui pouvait permettre, via DNS rebinding, à une page malveillante d’atteindre le serveur local et de lire des schémas et résultats de requêtes. Le problème concerne les déploiements utilisant le transport HTTP; le transport stdio par défaut n’est pas concerné par ce scénario.
PostgreSQL
IdentifiantCVE-2026-125320
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.0
Source : NVD — CVE-2026-125320
Analyse technique
L’absence de validation de Origin sur le transport HTTP permet une attaque par DNS rebinding depuis un navigateur.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-10; l’événement retenu est la publication de cette vulnérabilité dans la période demandée.
ImpactUn attaquant peut accéder, depuis le navigateur d’une victime, aux schémas et résultats de bases configurées sur un serveur local concerné.
Versions affectéesVersions antérieures à 1.1.0
Version corrigée1.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-10T18:17:33.213Z
Mise à jour2026-11-10T18:17:33.213Z
Action recommandée
Mettre à niveau vers pgEdge Postgres MCP Server 1.1.0 ou ultérieur; éviter d’exposer le transport HTTP vulnérable avant mise à jour.
Sources
Priorisation DFS : P4 · 1 source(s).