https://cyberveille.ch/tags/cve-2026-73554/ Recent content in CVE-2026-73554 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-bypass-d-authentification-critique-dans-dolt-mcp-execution-d-outils-sans-authentification/ Sun, 16 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-16-bypass-d-authentification-critique-dans-dolt-mcp-execution-d-outils-sans-authentification/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 13 août 2026 par Pillar Security sur leur blog, cet article présente la découverte et la divulgation coordonnée d&rsquo;une <strong>vulnérabilité critique d&rsquo;authentification bypass</strong> dans le serveur MCP distant de DoltHub (CVE-2026-73554).</p> <h2 id="-description-de-la-vulnérabilité">🐛 Description de la vulnérabilité</h2> <p>La vulnérabilité affecte <strong>Dolt MCP versions 0.3.1 à 0.3.6</strong> sur le transport HTTP distant lorsque l&rsquo;authentification JWT est activée. Elle repose sur deux défauts combinés :</p> <ul> <li><strong>Défaut 1 — Middleware JWT sans <code>return</code></strong> : Un token JWT invalide déclenchait bien une réponse <code>401 Unauthorized</code> via <code>http.Error</code>, mais en l&rsquo;absence d&rsquo;instruction <code>return</code>, l&rsquo;exécution continuait vers le handler MCP (<code>next.ServeHTTP</code>). En Go, <code>http.Error</code> écrit la réponse sans interrompre le traitement.</li> <li><strong>Défaut 2 — Validation de session par format uniquement</strong> : La bibliothèque <code>mark3labs/mcp-go</code> utilisée (via <code>InsecureStatefulSessionIdManager</code>) vérifiait uniquement que l&rsquo;identifiant de session commençait par <code>mcp-session-</code> et se terminait par un UUID valide, sans vérifier que le serveur avait effectivement créé cette session.</li> </ul> <h2 id="-impact">💥 Impact</h2> <p>Un attaquant non authentifié pouvait :</p>