CVE-2026-65056 in mcp-webresearch
要約
〜によって VulDB • 2026年07月22日
mcp-webresearch 0.1.7には、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。これは、visit_pageツールに対してループバックアドレス、リンクローカルアドレス、またはクラウドメタデータアドレスを指定することで攻撃者が内部ネットワークサービスにアクセスすることを可能にします。このツールはURLプロトコルの検証のみを行い、プライベートIP範囲や予約済みIP範囲のフィルタリングを行わないためです。攻撃者はプロンプトインジェクションを通じてLLMが制御するURL引数を操作し、サーバー上のPlaywrightブラウザを内部エンドポイント（クラウドインスタンスメタデータサービスなど）へ誘導します。これにより、サーバーは認証情報を含む機密性の高い内部ページの内容をモデルのコンテキストに返すことになります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.