GitHub GHSA/CVE-2025-5505: deepseek-mcp-server 自托管端点缺失认证

漏洞概述 漏洞名称: Missing Authentication on Self-Hosted HTTP MCP Endpoint 漏洞ID: GHSA-72F5-6W86-7V3 严重程度: Moderate (5.3 / 10) CVE ID: CVE-2025-5505 CWE ID: CWE-306 描述: 的自托管 HTTP 传输暴露了 端点，且没有进行任何身份验证。 在调用时未设置 ，也没有中间件保护该路由，因此任何网络可达的客户端都可以使用未经认证的 请求并获取有效的 MCP 会话标识符。在复现测试中，未认证的客户端能够初始化会话、枚举工具，并调用本地的 工具，而无需凭据。相同的未认证会话也暴露了 ，其处理程序通过服务器端 处理请求。 影响范围 受影响版本: 修复版本: CVSS v3 基础指标: - 攻击向量: Network - 攻击复杂度: Low - 所需特权: None - 用户交互: None - 范围: Unchanged - 机密性: None - 完整性: None - 可用性: Low 修复方案 1. 要求身份验证: 在自托管 HTTP 模式下创建 MCP 会话之前，要求身份验证。至少，在 的 中传递 ，或在 之前放置等效的身份验证中间件或反向代理，以防止未经认证的客户端到达 分支。 2. 限制本地访问: 对于只需要本地访问的部署，绑定到 而不是 ，在 和 中。上游 当前发布 ，更改为 将减少多用户或服务器主机上的无意暴露。 概念验证 (POC) 步骤 1: 发送未经认证的 请求 响应: 步骤 2: 发送未经认证的 请求 响应: 步骤 3: 发送未经认证的 请求 响应:

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

GitHub GHSA/CVE-2025-5505: deepseek-mcp-server 自托管端点缺失认证

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

GitHub GHSA/CVE-2025-5505: deepseek-mcp-server 自托管端点缺失认证

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！