🇰🇷 한글 설명
Go MCP SDK 1.4.1 미만 버전에서 Streamable HTTP 전송 계층이 Origin 헤더 검증 및 Content-Type 확인을 수행하지 않는 취약점이 발견되었습니다. 인증이 없는 상태로 배포된 경우, 공격자가 악성 웹사이트를 통해 로컬 서버에 임의의 MCP 요청을 보내 도구 실행을 유도할 수 있습니다.
💡 쉬운 설명
인증이 없는 상태에서 사용자의 브라우저를 통해 공격자가 몰래 명령을 내릴 수 있는 보안 허점이 있습니다. 악성 사이트에 접속하는 것만으로도 내 컴퓨터의 특정 프로그램이 원치 않는 동작을 수행할 위험이 있습니다.
🇺🇸 원문 (English)
The Go MCP SDK used Go's standard encoding/json. Prior to version 1.4.1, the Go SDK's Streamable HTTP transport accepted browser-generated cross-site `POST` requests without validating the `Origin` header and without requiring `Content-Type: application/json`. In deployments without Authorization, especially stateless or sessionless configurations, this allows an arbitrary website to send MCP requests to a local server and potentially trigger tool execution. Version 1.4.1 contains a patch for the issue.
📍 영향받는 시스템
Go MCP SDK 1.4.1 미만 버전
⚔️ 공격 벡터
브라우저 기반의 Cross-Site POST 요청을 통한 CSRF 형태의 공격
🛡️ 대응 방법
Go MCP SDK를 최신 버전인 1.4.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 v1.4.1 미만이면 취약한 상태이며, v1.4.1 이상이면 안전합니다.
go list -m github.com/modelcontextprotocol/sdk 2>/dev/null | grep -E 'v[0-9]+\.[0-9]+\.[0-9]+'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server