Alertas de Seguridad de la Información

La API HTTP de Rojo (puerto 34872 por defecto) carece de validación de encabezados Host/Origin, permitiendo ataques de DNS Rebinding. Un atacante puede leer todo el código fuente del proyecto, escribir código malicioso en disco y ejecutar programas locales sin interacción del usuario. Afecta principalmente a desarrolladores que usan Rojo en máquinas con acceso a internet y a servidores de desarrollo expuestos en redes corporativas de LATAM.

`@zereight/mcp-gitlab` is a Model Context Protocol server for GitLab. Versions prior to 2.1.30 expose the Streamable HTTP MCP endpoint without an effective Host or Origin allowlist. A malicious web page can use DNS rebinding to route browser requests to a victim's local MCP listener while preserving an attacker-controlled `Host` and `Origin`. The server accepts those headers and reaches the MCP in…

PraisonAI is a multi-agent teams system. Prior to praisonaiagents 1.6.59, ToolsMCPServer.run_sse and launch_tools_mcp_server bind to 0.0.0.0 and create /sse and /messages/ routes without invoking the available SecurityConfig authentication, origin-validation, or DNS-rebinding controls. Any reachable client can list and invoke registered tools, and a browser can target a local instance through DNS …