CVE-2026-45018

Nome do Software Vulnerável e Versões Afetadas Chainlit versões 2.4.0rc0 through 2.11.9

Description Implantações com features.mcp.enabled definido como true em .chainlit/config.toml expõem o endpoint 'POST /mcp' sem exigir autenticação. Para transporte stdio, o endpoint aceita uma string fullCommand controlada pelo usuário. A função validate mcp command() em backend/chainlit/mcp.py verifica apenas o nome do executável em relação a config.features.mcp.stdio.allowed executables e passa argumentos não verificados para StdioServerParameters em backend/chainlit/server.py. Como o npx suporta o argumento -c, um invasor pode executar comandos de shell arbitrários com os privilégios do processo Chainlit. Se allowed executables não for definido, seu valor padrão é tratado como permissão para qualquer executável.

Recommendations Atualize para a versão 2.12.0. Como mitigação temporária, defina features.mcp.enabled como false em .chainlit/config.toml ou restrinja o acesso ao endpoint 'POST /mcp'.