CVE-2026-53710 in MCP Context Forge
요약
\~에 의해 VulDB • 2026. 09. 15.
MCP Context Forge는 MCP, A2A, REST 및 gRPC API를 위한 AI 게이트웨이, 레지스트리 및 프록시입니다. 버전 1.0.2 이전의 mcp-servers/python/python_sandbox_server/src/python_sandbox_server/server_fastmcp.py에 있는 python_sandbox_server는 safe_builtins을 통해 raw getattr를 노출하고, 필수 _getattr_ 가드를 생략하며, 리터럴 위험한 dunder 문자열에 대해 validate_code 검사를 의존합니다. 공격자는 런타임에서 dunder 이름을 구성하여 Python 클래스 계층 구조를 탐색할 수 있으며, subprocess.Popen에 도달하여 execute_code MCP 도구를 통해 서버 프로세스 권한으로 OS 명령을 실행할 수 있습니다. HTTP/SSE 전송은 이 도구를 인증 없이 노출할 수 있는 반면, stdio 전용 배포는 네트워크 접근성이 제한됩니다. 이 문제는 python_sandbox_server 하위 프로젝트에 영향을 미치며 핵심 Context Forge 게이트웨이 또는 프록시 구성 요소에는 직접적인 영향을 주지 않습니다. 이 이슈는 버전 1.0.2에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.