🇰🇷 한글 설명
FastMCP 프레임워크의 OAuth 클라이언트 콜백 페이지(oauth_callback.py)에서 반사형 XSS 취약점이 발견되었습니다. 사용자 제어 값이 이스케이프 처리 없이 HTML에 삽입되어 콜백 서버 오리진에서 임의의 자바스크립트가 실행될 수 있습니다. 이 문제는 2.13.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 과정에서 사용하는 특정 페이지에 악성 코드를 심어 사용자의 브라우저에서 실행시키는 보안 약점입니다. 공격자가 이를 이용하면 사용자의 정보를 훔치거나 원치 않는 동작을 수행하게 할 수 있습니다.
🇺🇸 원문 (English)
FastMCP is the standard framework for building MCP applications. Versions prior to 2.13.0 have a reflected cross-site scripting vulnerability in the OAuth client callback page (oauth_callback.py) where unescaped user-controlled values are inserted into the generated HTML, allowing arbitrary JavaScript execution in the callback server origin. The issue is fixed in version 2.13.0.
📍 영향받는 시스템
FastMCP 2.13.0 미만 모든 버전
⚔️ 공격 벡터
조작된 URL을 통해 OAuth 콜백 페이지에 악성 스크립트가 포함된 파라미터를 전달하는 방식
🛡️ 대응 방법
FastMCP를 2.13.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.13.0보다 낮으면 취약한 상태입니다.
pip show fastmcp | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server