何が起きたか
CVE-2026-58446（CVSS 6.5 Medium）は 2026年6月30日に公開され、/mcp パスが認証ゲートから省略されている Presenton の nginx ルーティングの設定ミスです。次に MCP サーバーは任意の呼び出し元のセッション トークンを親切に生成し、完全な認証バイパスを作成します。securityvulnerability.io ごとに公開 PoC が利用可能です。
なぜ重要か
Presenton は、コンテンツ生成と API キー使用法のツールを露出する MCP サーバーを備えた AI プレゼンテーション ジェネレーターです。MCP インターフェイスへの認証なしアクセスは、攻撃者がプラットフォームの AI API キーを悪用し（クォータとコストを消費し）、コンテンツを生成またはアクセス内部セッションを生成するツールを呼び出すことができることを意味します。nginx 設定ミスパターンは、他の MCP サーバー対応アプリケーション内で一般的である可能性があります。
攻撃経路
nginx フロントエンドは /mcp を除くすべてのパスに auth_request ゲートを適用します。MCP サーバーは、そのパスで認証なしの呼び出し元に対して内部セッション トークンを自動生成します。認証なしのリモート攻撃者は任意の MCP ツール（プレゼンテーション生成、内部データ読み取りなど）を呼び出し、自動生成されたトークンを機密操作に使用でき、構成されたセッション認証を完全にバイパスできます。
影響を受けるシステム
Presenton 0.8.8-beta より前（AUTH_USERNAME/AUTH_PASSWORD が構成されたサーバー/Docker デプロイメント）
緩和策
Presenton 0.8.8-beta にアップグレードしてください。修正コミット：https://github.com/presenton/presenton/commit/a1103dcef3c761cc8bab44e2862c81a49969abd7