Platform
nodejs
Component
mcp-browser-agent
Opgelost in
0.1.1
0.2.1
0.3.1
0.4.1
0.5.1
0.6.1
0.7.1
0.8.1
CVE-2026-5607 is een Server-Side Request Forgery (SSRF) kwetsbaarheid in de imprvhub mcp-browser-agent component, specifiek in de CallToolRequestSchema functie binnen de URL Parameter Handler. Deze kwetsbaarheid stelt een aanvaller in staat om via manipulatie van parameters externe resources te benaderen, wat kan leiden tot ongeautoriseerde toegang tot interne systemen. De kwetsbaarheid treft versies 0.1.0 tot en met 0.8.0 van de mcp-browser-agent. Er is momenteel geen officiële patch beschikbaar.
Een Server-Side Request Forgery (SSRF) kwetsbaarheid is ontdekt in imprvhub mcp-browser-agent tot versie 0.8.0. Deze kwetsbaarheid bevindt zich in de functie CallToolRequestSchema van het bestand src/handlers.ts, specifiek in de URL Parameter Handler. Een aanvaller kan deze fout uitbuiten door de argumenten request.params.name of request.params.arguments te manipuleren om de server te dwingen verzoeken te sturen naar ongewenste interne of externe bronnen. De aard van SSRF stelt aanvallers mogelijk in staat om toegang te krijgen tot gevoelige gegevens, acties namens de server uit te voeren, of zelfs andere systemen binnen het interne netwerk te compromitteren. De publieke openbaarmaking van deze kwetsbaarheid en het gebrek aan reactie van de leverancier verhoogt het risico op uitbuiting aanzienlijk.
De SSRF-kwetsbaarheid in mcp-browser-agent kan op afstand worden uitgebuit, wat betekent dat een aanvaller geen fysieke toegang tot het getroffen systeem nodig heeft. De publieke openbaarmaking van de kwetsbaarheid vergemakkelijkt de uitbuiting verder, aangezien aanvallers bestaande exploits kunnen vinden en aanpassen. Het gebrek aan reactie van de leverancier verergert de situatie, omdat er geen officiële oplossing beschikbaar is. Aanvallers zouden deze kwetsbaarheid kunnen gebruiken om het interne netwerk te scannen op blootgestelde services, toegang te krijgen tot vertrouwelijke gegevens die zijn opgeslagen in interne bronnen, of zelfs aanvallen te lanceren op andere systemen binnen het netwerk. De ernst van de kwetsbaarheid wordt vergroot door de eenvoud van uitbuiting en het ontbreken van een officiële mitigatie.
Organizations utilizing mcp-browser-agent versions 0.1.0 through 0.8.0, particularly those deploying it in environments with sensitive internal resources, are at significant risk. Shared hosting environments where the component is deployed without proper isolation could also be vulnerable.
• nodejs / server:
grep -r 'request.params.name' ./src/handlers.ts
grep -r 'request.params.arguments' ./src/handlers.ts• generic web:
curl -I <target_url>/<malicious_url>disclosure
Exploit Status
EPSS
0.04% (11% percentiel)
CISA SSVC
CVSS-vector
Aangezien de leverancier geen fix heeft geleverd voor CVE-2026-5607, omvat de onmiddellijke mitigatie het vermijden van het gebruik van versie 0.8.0 of eerder van imprvhub mcp-browser-agent. Als het gebruik van deze tool essentieel is, wordt het aanbevolen om aanvullende beveiligingscontroles te implementeren, zoals Web Application Firewalls (WAF's) die kwaadaardige SSRF-verzoeken kunnen detecteren en blokkeren. Bovendien moet de serverconfiguratie worden beoordeeld en versterkt om de toegang tot interne en externe bronnen te beperken. Actief monitoren van serverlogs op ongebruikelijke netwerkpatronen kan ook helpen bij het detecteren en reageren op potentiële aanvallen. Het wordt ten zeerste aanbevolen om een alternatief voor deze tool te zoeken totdat een officiële patch is uitgebracht.
Actualice a una versión corregida de imprvhub mcp-browser-agent. La vulnerabilidad se encuentra en el manejo de parámetros de URL, específicamente en la función CallToolRequestSchema. Revise y fortalezca la validación de entrada para prevenir ataques de falsificación de solicitud del lado del servidor (SSRF).
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
SSRF (Server-Side Request Forgery) is een kwetsbaarheid die een aanvaller in staat stelt om de server te dwingen verzoeken te sturen naar bronnen waar de server normaal gesproken geen toegang toe zou hebben.
Het maakt toegang tot interne bronnen, ongeautoriseerde acties en mogelijk de compromittatie van andere systemen mogelijk.
Stop onmiddellijk met het gebruik ervan en zoek een alternatief of wacht op een fix van de leverancier.
Ja, de leverancier is benaderd, maar heeft niet gereageerd.
Implementeer aanvullende beveiligingscontroles zoals een WAF en versterk de serverconfiguratie.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.