Ladderlogix

**Nome do Software Vulnerável e Versões Afetadas** Chainlit versões 2.4.0rc0 through 2.11.9 **Description** Implantações com `features.mcp.enabled` definido como true em `.chainlit/config.toml` expõem o endpoint 'POST /mcp' sem exigir autenticação. Para transporte stdio, o endpoint aceita uma string `fullCommand` controlada pelo usuário. A função `validate mcp command()` em `backend/chainlit/mcp.py` verifica apenas o nome do executável em relação a `config.features.mcp.stdio.allowed executables` e passa argumentos não verificados para `StdioServerParameters` em `backend/chainlit/server.py`. Como o `npx` suporta o argumento `-c`, um invasor pode executar comandos de shell arbitrários com os privilégios do processo Chainlit. Se `allowed executables` não for definido, seu valor padrão é tratado como permissão para qualquer executável. **Recommendations** Atualize para a versão 2.12.0. Como mitigação temporária, defina `features.mcp.enabled` como false em `.chainlit/config.toml` ou restrinja o acesso ao endpoint 'POST /mcp'.

**Nome do Software Vulnerável e Versões Afetadas** Chainlit versões 2.4.0rc0 through 2.11.x **Description** Implantações do Chainlit com `features.mcp.enabled` definido como true em `.chainlit/config.toml` expõem o endpoint 'POST /mcp' sem exigir autenticação. O `ConnectSseMCPRequest` e o `ConnectStreamableHttpMCPRequest` em `backend/chainlit/types.py` aceitam uma `url` controlada pelo usuário e um dicionário de `headers` opcional sem validação de esquema, filtragem de endereços privados ou lista de permissões. O manipulador `connect mcp()` em `backend/chainlit/server.py` passa esses valores para `sse client()` ou `streamablehttp client()`, permitindo que o servidor Chainlit faça requisições externas cegas para serviços internos ou externos arbitrários, incluindo endpoints de metadados de nuvem, com cabeçalhos `Authorization` e `Cookie` controlados pelo invasor. Isso permite que invasores emitam requisições autenticadas de alteração de estado, descubram serviços internos, realizem varredura de portas e sondem endpoints de metadados. **Recommendations** Atualize para a versão 2.12.0. Como medida paliativa temporária, defina `features.mcp.enabled` como false em `.chainlit/config.toml` para desativar a funcionalidade vulnerável.