Apa yang terjadi
NVD menerbitkan CVE-2026-73846 (CVSS 6.5, Medium) dan CVE-2026-73845 (CVSS 5.3, Medium) pada 2026-08-14, menjelaskan kerentanan cache-key collision dan bypass hostname-validation dalam CKAN MCP Server's data-quality checking tools.
Mengapa penting
Blast radius rendah — integrasi MCP open-data niche tunggal — tetapi merepresentasikan pola lebih luas dari checks hostname/URL yang tidak cukup divalidasi dalam implementasi MCP tool yang dapat dirantai menuju SSRF atau data leakage.
Vektor serangan
CVE-2026-73846: canonicalizeParams menserialisasi parameter request dengan delimiter unescaped memungkinkan cache-key collisions dan cross-request cache poisoning; CVE-2026-73845: isValidMqaServer menggunakan regex prefix-only untuk validasi dati.gov.it, memungkinkan suffix-hostname bypass untuk akses SSRF-adjacent
Sistem yang terdampak
CKAN MCP Server < 0.4.112
Mitigasi
Upgrade CKAN MCP Server ke 0.4.112 atau lebih baru