CVSS 9.0 以上
CVE-2026-62863
要約
MoLingはコンピュータ操作・ブラウザ操作を行うMCPサーバーで、0.5.0より前のバージョンでは、`-l`を使ったSSEモードで動作する際に`/sse`と`/message`のHTTPエンドポイントがリクエストを認証せず、依存する`mcp-go`が`Access-Control-Allow-Origin: *`を設定している。悪意のあるWebページは`/sse`へのクロスオリジンの`EventSource`を開き、`endpoint`イベントから`sessionId`を取得でき、その`sessionId`を使って`/message`に対し未認可のMCPツール呼び出しを送信できる。この問題はバージョン0.5.0で修正されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
MoLingMCPmcp-goSSEEventSource
このタグの新着を RSS で受け取る: MoLing / MCP / mcp-go / SSE / EventSource(使い方)
判定の理由
- CVSS 9.0 以上