CVE-2026-45019 in Chainlit
Resumen
por VulDB • 2026-08-25
Chainlit es un framework de Python para construir aplicaciones de IA conversacional listas para producción. Desde la versión 2.4.0rc0 hasta la 2.12.0, los despliegues de Chainlit con `features.mcp.enabled` establecido en `true` en `.chainlit/config.toml` exponen el endpoint POST `/mcp` sin requerir autenticación. Para las transmisiones SSE y streamable-http, `ConnectSseMCPRequest` y `ConnectStreamableHttpMCPRequest` en `backend/chainlit/types.py` aceptan una URL controlada por el usuario y un diccionario de cabeceras opcionales sin validación del esquema, filtrado de direcciones privadas ni lista blanca. El manejador `connect_mcp` en `backend/chainlit/server.py` pasa estos valores a `sse_client()` o `streamablehttp_client()`, lo que permite al servidor Chainlit realizar solicitudes salientes ciegas hacia servicios internos o externos arbitrarios, incluidos endpoints de metadatos en la nube, con cabeceras Authorization y Cookie controladas por el atacante. El sumidero (sink) de URL SSE ha existido desde 2.4.0rc0, mientras que el reenvío de cabeceras controlado por el atacante y el soporte para streamable-http se añadieron en la versión 2.6.4. La respuesta es consumida internamente y no devuelta, pero el atacante puede emitir solicitudes autenticadas con cambios de estado, descubrir servicios internos, escanear puertos y sondear endpoints de metadatos. Este problema está corregido en la versión 2.12.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.