Chainlit MCP Command Injection (RCE) and SSRF Vulnerabilities (SPL-2026-001/002)

漏洞概述 漏洞ID: SPL-2026-001 / SPL-2026-002 严重程度: - SPL-2026-001: 严重 (CVSS v3.1: 9.8) - SPL-2026-002: 高 (CVSS v3.1: 7.2) 受影响版本: v2.4.0rc0 ~ v2.11.x (所有启用 的版本) 修复版本: v2.12.0 报告者: SPL Security (vipin@spl.team, stephen@spl.team) 报告日期: 2026-04-08 影响范围 SPL-2026-001: 命令注入通过 MCP stdio - 攻击者可以执行任意 shell 命令，读取和写入文件，窃取密钥，安装后门，并渗透到内部网络。 - 受影响配置：任何启用 MCP 的 Chainlit 部署。 SPL-2026-002: SSRF 通过 MCP streamable-http / SSE - 攻击者可以强制 Chainlit 服务器向内部服务（如云元数据端点、内部 API、数据库）发起 HTTP 请求，并伪造敏感头（如 , , ）。 - 受影响配置：任何启用 MCP 的 Chainlit 部署。 修复方案 SPL-2026-001 (Critical) — 架构修复 修复内容: - 从客户端请求中完全移除 字段。 - stdio MCP 服务器现在仅在服务器端配置中定义。 - 客户端仅发送 以激活预配置的服务器。 修复前代码: 修复后代码: SPL-2026-002 (High) — 纵深防御改进 修复内容: - 用户提供的 SSE/HTTP 连接现在需要显式选择加入 ( ) 和 URL 白名单。 - 强制 URL 方案为 或 。 - URL 白名单使用解析组件比较（防止子域名/用户信息绕过）。 - 路径前缀匹配规范化以防止同级路径绕过。 - 危险 HTTP 头（ , , , 等）在转发前被剥离。 - 不遵循 HTTP 重定向，无论是开发者配置的（“命名”）服务器还是用户提供的。 - MCP Python SDK 硬编码 ，但客户端在传递到两个传输层时覆盖此行为为 。 - 重新验证每个出站请求（不仅仅是初始 URL）与相同的 钩子。 推荐配置（可选用户服务器）: 无法立即升级的用户的缓解措施 1. 完全禁用 MCP — 在配置中设置 （这是默认值）。这完全防止了两种漏洞的利用。 2. 限制网络访问 — 将 Chainlit 服务器置于防火墙后面，阻止对内部网络和云元数据端点的出站连接。 3. 启用身份验证 — 配置 , 或 OAuth，以便 端点需要有效的用户会话。匿名访问显著降低了利用门槛。 时间线 2026-04-08: 收到 SPL Security 的报告 2026-04-08: 维护者确认漏洞 2026-04-xx: 修复合并（此 PR） 2026-xx-xx: 发布 v2.12.0 2026-xx-xx: 发布安全公告 致谢 报告者: Vipin 和 Stephen 在 SPL Security (security@spl.team) 在协调披露下报告了此漏洞。报告包括针对 Chainlit v2.11.0 测试的两种漏洞的概念验证利用。感谢 SPL Security 的彻底和负责任的安全公告。

目標達成すべての支援者に感謝 — 100%達成しました！

Chainlit MCP Command Injection (RCE) and SSRF Vulnerabilities (SPL-2026-001/002)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Chainlit MCP Command Injection (RCE) and SSRF Vulnerabilities (SPL-2026-001/002)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！