CVE-2026-45019 in Chainlit
Сводка
по VulDB • 25.08.2026
Chainlit — это фреймворк на Python для создания готовых к продакшену приложений с искусственным интеллектом для диалогов. Начиная с версии 2.4.0rc0 и до 2.12.0 включительно, развертывания Chainlit с параметром features.mcp.enabled=true в файле .chainlit/config.toml открывают доступ к конечной точке POST /mcp без необходимости аутентификации. Для транспортов SSE (Server-Sent Events) и streamable-http классы ConnectSseMCPRequest и ConnectStreamableHttpMCPRequest из файла backend/chainlit/types.py принимают управляемый пользователем URL и необязательный словарь заголовков без проверки схемы, фильтрации частных адресов или использования белого списка. Обработчик connect_mcp в файле backend/chainlit/server.py передает эти значения функциям sse_client() или streamablehttp_client(), что позволяет серверу Chainlit выполнять слепые исходящие запросы к произвольным внутренним или внешним сервисам, включая конечные точки метаданных облачных сред, с использованием управляемых атакующим заголовков Authorization и Cookie. Уязвимость в sink (приемнике) URL для SSE существует начиная с версии 2.4.0rc0, тогда как поддержка пересылки контролируемых атакующим заголовков и транспорта streamable-http была добавлена в версии 2.6.4. Ответ потребляется внутри системы и не возвращается наружу, однако злоумышленник может выполнять изменяющие состояние запросы с аутентификацией, обнаруживать внутренние сервисы, сканировать порты и исследовать конечные точки метаданных. Эта проблема исправлена в версии 2.12.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.