🇰🇷 한글 설명
Line Desktop MCP의 --http-mode 사용 시 서버가 0.0.0.0에 바인딩되어 인증 없이 /mcp 엔드포인트에 접근할 수 있는 취약점이 존재합니다. 1.1.2 미만 버전에서는 네트워크를 통해 접근 가능한 공격자가 사용자의 LINE 채팅 기록을 읽거나 메시지를 전송할 수 있습니다.
💡 쉬운 설명
LINE 데스크톱 앱을 제어하는 프로그램의 보안 설정 오류로 인해, 외부에서 누구나 내 LINE 메시지를 훔쳐보거나 대신 보낼 수 있는 위험이 있습니다. 이 문제는 프로그램 버전을 업데이트하면 해결됩니다.
🇺🇸 원문 (English)
Line Desktop MCP is a project that, while unaffiliated with the official line-bot-mcp-server, allows users to directly operate the LINE Desktop application on Windows or Mac via MCP. `line-desktop-mcp` supports a `--http-mode` Streamable HTTP transport for use with clients such as n8n. In this mode the server binds to `0.0.0.0` and exposes the MCP `/mcp` endpoint without an MCP-layer authentication check. Prior to version 1.1.2, any network client that can reach the port can initialize a session, list tools, and call tools that read LINE Desktop chat history or send LINE messages through the already logged-in desktop application. Version 1.1.2 fixes the issue.
📍 영향받는 시스템
Line Desktop MCP (version < 1.1.2)
⚔️ 공격 벡터
네트워크를 통해 인증 없이 MCP /mcp 엔드포인트에 접속하여 도구 실행
🛡️ 대응 방법
Line Desktop MCP를 버전 1.1.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.1.2 미만이면 취약한 상태이며, 1.1.2 이상이면 안전합니다.
npm list -g line-desktop-mcp 2>/dev/null | grep -E 'line-desktop-mcp@'