Yotam Perkal

**Nome do Software Vulnerável e Versões Afetadas** mcp-use (versões afetadas não especificadas) **Descrição** O middleware de proxy no inspetor encaminha solicitações para um destino especificado pelo chamador. A função `mountMcpProxy` em `libraries/typescript/packages/inspector/src/server/proxy/mcp-proxy.ts` lê o destino do cabeçalho `X-Target-URL` ou do parâmetro ` mcp target` e realiza o proxy da solicitação sem inspecionar o host. Isso permite a aceitação de endereços de loopback, link-local e privados, bem como nomes que resolvam para eles. Além disso, a validação não é reaplicada a redirecionamentos retornados pelo destino. Consequentemente, um chamador pode forçar o servidor a emitir solicitações para endereços acessíveis apenas a partir do host onde o servidor está sendo executado e ler as respostas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MCP server versões anteriores a 0.9.12 **Description** A ferramenta `get-html-skeleton` permite Server-Side Request Forgery (SSRF) pois busca uma URL fornecida pelo usuário após realizar apenas uma verificação de sintaxe. O manipulador em `src/tools/common/get html skeleton.ts` utiliza a função `isValidHttpUrl()` de `src/utils/generic.ts`, que apenas confirma se a string começa com o esquema http ou https e se possui um formato de URL válido. A função não inspeciona o nome do host ou o endereço resolvido, permitindo requisições para intervalos de loopback, link-local e IPs privados, incluindo serviços de metadados de instâncias de provedores de nuvem. Um invasor pode utilizar isso para solicitar endpoints internos acessíveis apenas pelo host e recuperar informações sensíveis, como credenciais de instância. **Recommendations** Atualize para a versão 0.9.12, que remove a ferramenta `get-html-skeleton`.

**Nome do Software Vulnerável e Versões Afetadas** mcp-router versões anteriores a 0.6.3 **Description** A CLI disponibiliza seu agregador MCP em todas as interfaces de rede por padrão e impõe a autenticação apenas se explicitamente solicitada pelo operador. No comando `serve` localizado em `apps/cli/src/commands/serve.ts`, o host assume por padrão o endereço de todas as interfaces em uma porta fixa e exige um token apenas quando uma flag específica é fornecida. Consequentemente, uma invocação padrão expõe o agregador e todos os servidores MCP conectados a qualquer usuário capaz de alcançar a porta. **Recommendations** Atualize para a versão 0.6.3 ou posterior.