CVE-2026-49257: Servidor MCP mcp-pinot expõe endpoint HTTP sem autenticação com acesso total ao Apache Pinot

Visão geral

A CVE-2026-49257 afeta o mcp-pinot, servidor Model Context Protocol (MCP) escrito em Python, mantido na organização startreedata no GitHub, que permite a clientes MCP interagir com o Apache Pinot. Nas versões 3.0.1 e anteriores, a configuração padrão inicia um servidor MCP HTTP escutando em 0.0.0.0:8080 sem qualquer autenticação. A fraqueza é classificada como CWE-306 (ausência de autenticação para função crítica).

Impacto

Como o serviço escuta em todas as interfaces e não exige credenciais, qualquer cliente que alcance a porta pode acionar todas as ferramentas MCP expostas, incluindo execução de consultas SQL, criação de schemas e alteração de configurações de tabelas. O servidor repassa essas solicitações com suas próprias credenciais do Pinot, caracterizando um cenário de confused deputy: quem chama sem autenticação herda os privilégios do servidor e obtém leitura e escrita completas no cluster Pinot configurado. Isso pode resultar em vazamento de dados, adulteração de dados ou schemas e interrupção de cargas analíticas.

A CNA do GitHub atribuiu pontuação base CVSS 3.1 de 10.0 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, refletindo acesso via rede, baixa complexidade, ausência de privilégios ou interação do usuário e escopo alterado.

Produtos e versões afetados

mcp-pinot nas versões 3.0.1 e anteriores (segundo a descrição da CVE)
Corrigido no mcp-pinot 3.1.0

O registro não traz dados estruturados de versões ou pacotes afetados além da descrição.

Status de exploração

A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA e não há exploração confirmada nas fontes consultadas. O registro não inclui pontuação EPSS. Diante das condições triviais para abuso, instâncias expostas devem ser tratadas como de alto risco.

Correção e mitigação

Atualize o mcp-pinot para a versão 3.1.0 ou superior. Consulte o aviso no GitHub, o pull request da correção e o commit relacionado.
Até atualizar, não exponha o transporte HTTP: vincule-o ao localhost ou restrinja a porta 8080 com firewall de host ou de rede.
Conceda às credenciais do Pinot usadas pelo servidor MCP apenas os privilégios mínimos, de preferência somente leitura quando escrita não for necessária.
Faça a rotação das credenciais do Pinot de qualquer instância que possa ter ficado exposta.
Veja a issue original para contexto sobre a configuração padrão.

Orientações de detecção

Levante os hosts que executam o mcp-pinot e verifique se a porta 8080 é acessível a partir de outros sistemas ou redes.
Analise logs de rede em busca de conexões inesperadas à porta HTTP do servidor MCP.
Audite logs e metadados do cluster Pinot procurando criação de schemas, mudanças de configuração de tabelas ou consultas incomuns associadas à conta de serviço do servidor MCP.

Limitações das informações disponíveis

O registro no NVD está com status Deferred e não contém configuração estruturada de produtos afetados, nem dados de EPSS ou SSVC. Os detalhes de como a versão 3.1.0 passa a exigir autenticação ou altera o bind padrão não foram examinados além dos links referenciados, portanto recomenda-se validar a configuração segura após a atualização.

Perguntas frequentes

Quais versões do mcp-pinot são afetadas pela CVE-2026-49257?

As versões 3.0.1 e anteriores, segundo a descrição da CVE; a falha foi corrigida na versão 3.1.0.

Por que a severidade é 10.0?

O servidor HTTP padrão escuta em todas as interfaces sem autenticação e executa as solicitações com suas próprias credenciais do Pinot, dando a qualquer cliente com acesso de rede leitura e escrita completas no cluster, com escopo alterado.

A CVE-2026-49257 está sendo explorada ativamente?

Ela não consta no KEV da CISA e não há exploração confirmada nas fontes consultadas.

O que fazer se não for possível atualizar imediatamente?

Restrinja o serviço HTTP ao localhost ou bloqueie a porta 8080 na rede, limite os privilégios das credenciais do Pinot usadas pelo servidor e faça a rotação das credenciais de instâncias possivelmente expostas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.