Novice-22

O uso de um recurso não inicializado no ASP.NET Core permite que um invasor não autorizado divulgue informações através de uma rede. Especificamente, um `ResponseBufferingStream` reutilizado pode reter memória de cauda agrupada, o que pode expor dados do corpo da resposta de outra requisição por meio de logs de HTTP.

O comando `serve` utiliza transporte HTTP vinculado ao 0.0.0.0 na porta 8000 sem autenticação. Isso permite que qualquer cliente de rede capaz de alcançar o endpoint `/mcp` invoque a ferramenta de agente exposta. Se o servidor for iniciado com a flag `--shell`, o agente pode utilizar a ferramenta de execução local implementada por `tools/local shell executor.py`, permitindo que um cliente remoto não autenticado execute comandos do sistema operacional com os privilégios do usuário do servidor. Na ausência da flag `--shell`, os clientes ainda podem utilizar o modelo do operador e as ferramentas Model Context Protocol (MCP) configuradas. Os padrões são estabelecidos em `cli/commands/serve.py` e `mcp/server/agent server.py`, e o prompt de permissão do servidor não interativo não bloqueia esse acesso.

Quando o servidor HTTP opcional é ativado via `MCP TRANSPORT=http`, o servidor registra que a autenticação `X-API-Key` está ativa após ler a variável `MCP API KEY`, mas não valida o cabeçalho `X-API-Key` em requisições recebidas. Isso permite que clientes não autenticados acessem o endpoint `/mcp`. Como o endereço de bind padrão é `0.0.0.0`, qualquer cliente que alcance a porta pode invocar todas as ferramentas de PDF e ler qualquer arquivo PDF acessível ao processo do servidor no host. Além disso, fontes baseadas em URL permitem server-side request forgery (SSRF) limitado, uma vulnerabilidade onde um invasor induz o servidor a fazer requisições para um local não pretendido, embora destinos privados e de loopback sejam bloqueados, a menos que `--allow-private-ips` esteja ativado. O transporte `stdio` padrão não é afetado.

Um usuário autenticado não administrador pode registrar um servidor apontando para uma URL arbitrária, fazendo com que o hub emita solicitações do lado do servidor sem filtragem de saída. Essa ausência de filtragem permite solicitações para endereços de loopback, RFC1918 e link-local 169.254.0.0/16. Ao utilizar o caminho do proxy OpenAPI, o corpo da resposta é retornado ao chamador, resultando em um Server-Side Request Forgery (SSRF) refletido, condição na qual um invasor induz o servidor a fazer solicitações para um local não pretendido. Ao utilizar o transporte SSE/streamable-http, a solicitação é enviada de forma cega.

O software contém uma falha de gravação arbitrária de arquivos onde a função `browser download` grava o corpo de uma resposta buscada em um caminho criado por `join(save dir, filename)` sem validar a variável `save dir`. Além disso, as funções `browser save state` e `browser load state` aceitam um `path` controlado pelo chamador sem validação. Um cliente MCP malicioso ou um agente autônomo influenciado por injeção indireta de prompt pode especificar um `save dir` ou `path` de estado arbitrário e uma URL para gravar conteúdo controlado pelo invasor em qualquer local que o processo possa acessar, como `~/.bashrc`, entradas de inicialização automática ou arquivos cron, levando potencialmente à execução de código no host. Além disso, o fallback `force fetch` utiliza uma função `fetch()` bruta que ignora a barreira de origem `BROWSE MCP ALLOWED ORIGINS`.