CVE-2025-34072 in Slack MCP Server
Tóm tắt
Bởi VulDB • 10/05/2026
Tồn tại một lỗ hổng đánh cắp dữ liệu trong Máy chủ Model Context Protocol (MCP) của Slack do Anthropic ngừng hỗ trợ, thông qua cơ chế tự động mở rộng liên kết (link unfurling). Khi một tác nhân AI sử dụng Máy chủ Slack MCP xử lý dữ liệu không đáng tin cậy, nó có thể bị thao túng để tạo ra các tin nhắn chứa siêu liên kết do kẻ tấn công tạo ra, trong đó nhúng dữ liệu nhạy cảm. Các bot xem trước liên kết của Slack (ví dụ: Slack-LinkExpanding, Slackbot, Slack-ImgProxy) sau đó sẽ gửi các yêu cầu ra ngoài đến URL do kẻ tấn công kiểm soát, dẫn đến việc đánh cắp dữ liệu riêng tư mà không cần người dùng tương tác (zero-click).
If you want to get best quality of vulnerability data, you may have to visit VulDB.