阿里先知·· 15 天前推荐指数54
MCP Python SDK 授权服务器缺失 Host 校验，7 个 OAuth 端点可被 DNS rebinding 利用
MCP SDK 的 Host 校验漏在了授权服务器上
AI 导读
MCP Python SDK 的传输层做了 Host/Origin 校验并以 421 拦截，但同一文件里 create_auth_routes() 自带的 OAuth 授权服务器没有做这项校验。
来源：阿里先知 · xz.aliyun.com
MCP Python SDK 授权服务器缺失 Host 校验，7 个 OAuth 端点可被 DNS rebinding 利用