【漏洞预警】tsParticles mcp-server 爆高危漏洞，未认证 POST 就能把内存打爆（CVE-2026-63655）

tsParticles mcp-server 低于 4.3.1 时，HTTP 模式对未鉴权 POST 没有边界缓冲，远程可耗尽内存造成 DoS（CVE-2026-63655 / GHSA-447x-qqwf-m7xq，CVSS 3.1 为 7.5）。官方 Docker 镜像场景明确受影响。请把 tsparticles/mcp-server 升到 v4.4.0（Hub 已核实；暂无 v4.3.1 标签）。

2026/11/5·Docker漏洞预警·

tsParticlesMCP

【漏洞预警】Nginx UI 低于 2.4.1：会话加固缺失与 MCP 配置校验绕过可导致远程代码执行

Nginx UI 低于 2.4.1 有一批高危：Casdoor SSO 固定 state、OTP 与通行密钥注册及改密等写接口缺少 SecureSession，配置指令校验可被同行注入绕过，MCP 的 nginx_config_add 等路径跳过 REST 已有的校验。官方镜像 uozi/nginx-ui 自带 njs 模块，已认证调用方可在 nginx worker 中执行代码。请升级到 2.4.1 或更高。

2026/10/13·Docker漏洞预警·16 次阅读

Nginx UICVE

【漏洞预警】ToolHive 容器化 MCP 默认可达 host.docker.internal，可横向移动（CVE-2026-58197）

ToolHive CLI < 0.30.1、Studio < 0.38.0 拉起的本地 MCP 容器默认缺少网络隔离，可经 host.docker.internal 访问宿主机本机服务、其他 MCP 代理及无认证控制面（CVE-2026-58197，CVSS 约 8.8 High）。请升级 CLI ≥ 0.30.1、Studio ≥ 0.38.0；宿主机访问需显式 --allow-docker-gateway。

2026/9/19·Docker部署教程·7 次阅读

ToolHiveMCP

共 3 篇文章