CVE-2026-61546

AnkiMCP to dodatek Anki, który implementuje serwer MCP, umożliwiając asystentom AI interakcję z aplikacją fiszek Anki. Przed wersją 0.21.0 `anki_mcp_server/mcp_server.py` globalnie wyłącza ochronę przed ponownym wiązaniem DNS FastMCP poprzez `TransportSecuritySettings` z parametrem `enable_dns_rebinding_protection=False`, w tym dla domyślnego lokalnego odbiornika Streamable HTTP. Wartości domyślne w `anki_mcp_server/config.py` włączają `http_enabled` na `127.0.0.1:3141`, z pustą `http_path` wybierającą główny punkt końcowy. Żaden token nośnika, klucz API, sekret sesji, ścisła lista dozwolonych „Host” ani ścisła lista dozwolonych „Origin” nie są wymuszane przed wysłaniem „inicjalizacji”, „narzędzi/listy” i „narzędzi/wywołania” dotarcia do MCP. Ofiara, która odwiedza złośliwą stronę internetową, gdy działają Anki i słuchacz, może spowodować, że żądania przeglądarki zostaną odesłane do pętli zwrotnej, co umożliwi atakującemu „zainicjowanie” MCP, wyliczenie narzędzi, odczytanie lokalnej kolekcji i wykonanie włączonego, nieniszczącego tworzenia notatek/talii lub aktualizacji. Osoba atakująca nie potrzebuje ani pozycji LAN, ani procesu lokalnego. Dostępne operacje zależą od włączonych filtrów narzędzi; narzędzia destrukcyjne są ukryte, chyba że włączono opcję „enabled_destructive_tools”, co ogranicza wpływ na poziomie usuwania, ale nie na ujawnione operacje odczytu/zapisu. Zgłoszona uprząż potwierdza rzeczywistą wysyłkę narzędzia MCP z zastąpionymi odpowiedziami mostu Anki, a nie demonstruje destrukcyjne zmiany w prawdziwej kolekcji. Wyłączenie ochrony tuneli/proxów powoduje również wyłączenie jej w przypadku normalnej konfiguracji pętli zwrotnej. Ten problem został rozwiązany w wersji 0.21.0.