Dinhvaren

O transporte MCP HTTP-stream é exposto sem autenticação por padrão, pois a opção `--api-key` da CLI assume o valor `None` por padrão, e o servidor apenas impõe verificações de Authorization/Bearer quando uma chave de API está configurada. Um cliente não autenticado pode inicializar uma sessão, enumerar ferramentas disponíveis através do endpoint `tools/list` e invocar ferramentas através do endpoint `tools/call`. Além disso, o despachante encaminha argumentos de chamada de ferramentas para os manipuladores sem validá-los em relação ao `inputSchema`. Embora o servidor seja vinculado ao 127.0.0.1 por padrão, a exploração remota é possível se o operador vincular o servidor a um endereço acessível pela rede usando o parâmetro `--host`.

Um problema de server-side request forgery (SSRF) existe na ferramenta `web crawl`. O software valida nomes de host no momento da verificação usando a função ` is safe crawl url()` para rejeitar IPs privados, de loopback ou link-local, mas não realiza o pinning (fixação) do IP resolvido. Consequentemente, o backend resolve novamente o nome do host no momento da conexão. Um invasor pode usar DNS rebinding—uma técnica onde um domínio retorna um IP público durante a validação e um IP interno durante a busca real—para ignorar essas proteções. Isso permite a recuperação de corpos de resposta HTTP internos de serviços privados ou de loopback. O problema afeta múltiplos backends, incluindo `httpx`, `urllib` e `crawl4ai` (headless Chromium). Especificamente, a função ` crawl with httpx()` e a ferramenta `web crawl` são afetadas.

O software possui uma configuração padrão insegura que se vincula a todas as interfaces de rede, não exige chaves de API e utiliza CORS (Cross-Origin Resource Sharing) com curinga, permitindo que recursos sejam solicitados de qualquer domínio. Atacantes não autenticados podem acessar o endpoint 'GET /api/agents' para ler instruções de agentes e prompts de sistema, ou utilizar o endpoint 'POST /api/chat' para invocar agentes.

O software carece de verificação de assinatura ao operar no modo webhook. Isso permite que invasores não autenticados injetem mensagens com endereços de remetente falsificados, enviando eventos `message.received` manipulados para o endpoint do webhook. Esta ação permite a injeção de conteúdo arbitrário no agente e pode disparar respostas para endereços controlados pelo invasor, ignorando as listas de permissão e bloqueio de remetentes.

Um problema de server-side request forgery (SSRF) existe no backend Crawl4AI/Chromium. Esta falha permite que atacantes ignorem a validação de SSRF utilizando DNS rebinding e redirecionamentos HTTP. Ao criar URLs específicas que resolvem para serviços internos após a validação inicial, um atacante pode forçar o navegador headless a seguir redirecionamentos e ler respostas internas, que podem incluir valores canary sensíveis.

Existe uma falha de server-side request forgery (SSRF) não autenticada no endpoint da Jobs API '/api/v1/runs'. O problema ocorre porque o parâmetro `webhook url` é validado no momento da requisição, mas resolvido novamente no momento da conexão. Isso permite que atacantes utilizem DNS rebinding—uma técnica usada para burlar filtros de segurança alterando o endereço IP associado a um nome de domínio entre a validação e o uso—para realizar ataques de SSRF cegos contra serviços internos.