Apa yang terjadi
CWE-1327 (kegagalan bind ke loopback). Server MCP di dalam Mendix Studio Pro mendengarkan pada antarmuka non-loopback, memungkinkan interaksi jarak jauh dengan permukaan alat agen. Dikombinasikan dengan celah validasi Content-Type/Origin, ini menciptakan endpoint MCP yang dapat dijangkau dari jarak jauh dan tidak terjaga sempurna.
Mengapa penting
Mendix menyertakan dukungan MCP agar alat AI/agen dapat menggerakkan platform low-code. Mengekspos server MCP di luar loopback mengubah alat lokal developer menjadi endpoint agen yang dapat dijangkau jaringan, yang dapat dipanggil oleh pemanggil jarak jauh atau lintas-origin.
Vektor serangan
Listener HTTP Server MCP tidak dibatasi ke antarmuka loopback, sehingga penyerang dengan akses jaringan dapat berinteraksi dengan Server MCP dari jarak jauh (CVSS 8.8 / 9.2 dalam CVSS 4.0). Masalah terkait (CVE-2026-112137) gagal memvalidasi header Content-Type dan Origin.
Sistem yang terdampak
Mendix Studio Pro 11 (>= V11.15.0 < V11.16.0) dan 11.12 (>= V11.12.6 < V11.12.7) MCP Server
Mitigasi
Tingkatkan Mendix Studio Pro ke versi yang diperbaiki sesuai advisory Siemens SSA-710379.