Apa yang terjadi
NetBox MCP Server sebelum 1.2.1 mengekspos transport HTTP-nya tanpa autentikasi, sehingga klien yang dapat menjangkaunya bisa mendapatkan sesi MCP dan akses penuh ke semua alat (CWE-306). CVSS 5.9, dipublikasikan 2026-10-23.
Mengapa penting
Server MCP adalah permukaan alat tepercaya yang dipanggil oleh agen LLM; endpoint MCP tanpa autentikasi berarti penyerang atau agen yang teracuni dapat membaca data inventaris NetBox yang diekspos server, melewati batas baca-saja yang dimaksudkan.
Vektor serangan
Tidak adanya autentikasi (CWE-306) pada endpoint HTTP NetBox MCP Server; klien tanpa autentikasi yang dapat menjangkau port tersebut mendapatkan sesi MCP yang valid dan akses penuh ke semua empat alat NetBox tanpa token atau kredensial.
Sistem yang terdampak
netbox-mcp-server sebelum 1.2.1 (TRANSPORT=http)
Mitigasi
Tingkatkan ke netbox-mcp-server 1.2.1 (GHSA-5qg7-j8mr-9477); jangan ekspos transport HTTP di luar jaringan tepercaya; minta autentikasi untuk setiap endpoint MCP yang dijangkau agen.