Vulnerabilidad de Reencuadernación de DNS en el Complemento AnkiMCP (CVE-2026-61546)

Se ha identificado una vulnerabilidad relacionada con ataques de reencuadernación de DNS (DNS Rebinding, clasificada bajo las debilidades CWE-346 de error de validación de origen y CWE-350 de dependencia de resolución inversa de DNS) en AnkiMCP, un complemento de Anki que implementa un servidor MCP (Model Context Protocol) para permitir que asistentes de inteligencia artificial interactúen con la aplicación de tarjetas de estudio (flashcards). Esta deficiencia permite que atacantes externos alcancen herramientas HTTP locales de AnkiMCP que no se encuentran autenticadas.

Vector de Ataque: Remoto vía red mediante ataques de DNS Rebinding; se aprovecha de la falta de autenticación en las herramientas HTTP del servidor local.

Impacto: Confidencialidad e integridad altas. Permite el acceso no autorizado a los datos locales de las colecciones de Anki, posibilitando la lectura y modificación de tarjetas de estudio y datos privados del usuario sin requerir acceso físico ni a la red local.

Parches y Actualizaciones: actualizar de inmediato el complemento AnkiMCP a la versión 0.21.0 o superior.

Mitigaciones Temporales: verificar y asegurar que las opciones de protección contra reencuadernación de DNS se encuentren explícitamente habilitadas en la configuración del complemento (evitando deshabilitarlas para proxies o túneles si no es estrictamente necesario).

Buenas Prácticas: limitar la exposición de servicios locales de automatización o agentes de IA a redes públicas y evitar navegar por sitios web no confiables mientras se ejecutan servidores locales de desarrollo o integración de IA.

https://nvd.nist.gov/vuln/detail/cve-2026-61546