Chainlit MCP Command Injection & SSRF Vulnerabilities (SPL-2026-001/002)

漏洞概述 漏洞ID: SPL-2026-001 / SPL-2026-002 严重程度: - SPL-2026-001: 严重 (CVSS v3.1: 9.8) - SPL-2026-002: 高 (CVSS v3.1: 7.2) 受影响版本: v2.4.0rc0 - v2.11.x (所有启用 的版本) 修复版本: v2.12.0 报告者: SPL Security (vipin@spl.team, stephen@spl.team) 报告日期: 2026-04-08 影响范围 SPL-2026-001 - 通过 MCP stdio 的命令注入 - 描述: 端点在 为 "stdio" 时接受用户提供的 字符串。该字符串仅通过检查可执行文件名是否在可配置白名单中来验证，参数未经过过滤。 - 影响: 未认证的远程攻击者可以在 Chainlit 服务器上执行任意 shell 命令，具有 Chainlit 进程的权限。这允许读取和写入文件、窃取密钥、安装后门并渗透到内部网络。 - 受影响配置: 任何启用 MCP 的 Chainlit 部署（ ）。MCP 自 v2.7.0 起默认禁用。 SPL-2026-002 - 通过 MCP streamable-http / SSE 的 SSRF - 描述: 端点接受来自客户端的任意 和头信息，当 为 "sse" 或 "streamable-http" 时。URL 直接传递给 MCP SDK 的 HTTP 客户端，无协议检查、主机名验证和白名单。攻击者还控制所有 HTTP 头，启用头注入攻击。 - 影响: 未认证的远程攻击者可以导致 Chainlit 服务器向内部网络主机发起任意出站 HTTP 请求，伪造 HTTP 头，并探测云实例元数据服务。 修复方案 SPL-2026-001 (Critical) - 架构修复 - 字段已从客户端请求中完全移除。stdio MCP 服务器现在仅在服务器端配置中定义。 - 修复前 (v2.11.x, 易受攻击): - 修复后 (v2.12.0, 已修复): SPL-2026-002 (High) - 纵深防御改进 - 用户提供的 SSE/HTTP 连接现在需要显式选择加入 ( ) 和 URL 白名单。 - 额外措施: - URL 方案强制为 / 仅。 - URL 白名单使用解析组件比较（防止子域名/用户信息绕过）。 - 路径前缀匹配规范化以防止兄弟路径绕过（例如， 不再匹配白名单条目 ）。 - 危险 HTTP 头（ , , , 等）在转发前被剥离。 - 不遵循 HTTP 重定向，适用于开发者配置的（“命名”）服务器和用户提供的服务器。MCP Python SDK 硬编码 ，但 的 使用 覆盖此设置。 - 重新验证每个出站请求（不仅是初始 URL）与相同的 钩子。 - 最后部分关闭了一个相关漏洞：SSE 传输从服务器自己的 事件获取 POST 目标，SDK 接受任何相同的源值——包括路径子树中白名单条目之外的一个。 推荐配置（可选用户服务器）: 无法立即升级的用户的缓解措施 禁用 MCP — 设置 在您的配置中（这是默认值）。这完全防止两种漏洞的利用。 限制网络访问 — 将 Chainlit 服务器置于防火墙后面，防止对内部网络和云元数据端点的出站连接。 启用身份验证 — 配置 、 或 OAuth，以便 端点需要有效的用户会话。匿名访问显著降低了利用的门槛。 时间线 2026-04-08: 收到来自 SPL Security 的报告 2026-04-08: 维护者确认漏洞 2026-04-xx: 修复合并（此 PR） 2026-xx-xx: v2.12.0 发布 2026-xx-xx: 发布安全公告

目標達成すべての支援者に感謝 — 100%達成しました！

Chainlit MCP Command Injection & SSRF Vulnerabilities (SPL-2026-001/002)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Chainlit MCP Command Injection & SSRF Vulnerabilities (SPL-2026-001/002)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！