Vulnerabilidades de Startreedata
CVEs publicadas que afetam produtos de Startreedata: 1 registro(s), com severidade, exploração e correções.
CVE-2026-49257
Crítica · 10.0
CWE-306 18/06/2026
Servidor MCP mcp-pinot expõe endpoint HTTP sem autenticação com acesso total ao Apache Pinot
O mcp-pinot é um servidor Model Context Protocol (MCP) baseado em Python para interagir com o Apache Pinot. Nas versões 3.0.1 e anteriores, o mcp-pinot por padrão executa um servidor MCP HTTP vinculado a 0.0.0.0:8080 sem nenhuma autenticação habilitada. Todas as ferramentas MCP, incluindo execução de consultas SQL, criação de schemas e mutação de configuração de tabelas, ficam acessíveis a qualquer chamador adjacente na rede. O servidor intermedia essas chamadas usando credenciais do Pinot do lado do servidor, produzindo uma condição de confused deputy que resulta em acesso total de leitura/escrita ao cluster Pinot configurado. Este problema foi corrigido na versão 3.1.0.