Process Compose: Browser DNS rebinding lets websites control local process-compose MCP tools — GHSA-5GM3-9CRP-6G3V

GitHub · GitHub · GHSA-5GM3-9CRP-6G3V

ID
GHSA-5GM3-9CRP-6G3V

Datum
2026-09-18

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.1

Zusammenfassung

## Summary A malicious website can use DNS rebinding to control a developer's local process-compose MCP SSE listener when MCP SSE is enabled. The vulnerable path accepts browser-origin requests before any Host validation, Origin validation, or caller-secret check, then dispatches the requests into process-compose MCP tools. This advisory covers `https://github.com/F1bonacc1/process-compose`, confirmed at commit…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-18

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.1 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/f1bonacc1/process-compose.

Produkt

go: github.com/f1bonacc1/process-compose

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-5GM3-9CRP-6G3V
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-18
Letzte Quellenaktivität: 2026-09-18
Weitere Kennungen: CVE-2026-77339
Kuratiert von: hlukh.ch