حمله از طریق ترکیب آسیب‌پذیری شناخته‌شده “0.0.0.0 Day” در مرورگرهای مدرن با آسیب‌پذیری جعل درخواست میان‌سایتی (CSRF) در Inspector صورت می‌گیرد که امکان اجرای کد دلخواه را صرفاً با بازدید از یک وب‌سایت مخرب فراهم می‌کند. نسخه‌های زیر 0.14.1 ابزار MCP Inspector به دلیل فقدان احراز هویت بین کلاینت و پروکسی در معرض این حمله قرار دارند. پس از افشای مسئولانه در آپریل 2025، این آسیب‌پذیری در 13 ژوئن با انتشار نسخه 0.14.1 برطرف شد که شامل اضافه کردن توکن جلسه و اعتبارسنجی منشأ برای مسدود کردن کامل مسیر حمله است. این کشف همزمان با گزارش‌هایی از سایر آسیب‌پذیری‌ها در اکوسیستم MCP از جمله باگ تزریق SQL در سرور SQLite و مشکلات پیکربندی در صدها سرور MCP صورت گرفته است.
کلمات کلیدی : آسیب‌پذیری سایبری, MCP Inspector, Anthropic, اجرای کد از راه دور, امنیت هوش مصنوعی, CVE-2025-49596
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.