mcp-sanitizer v1.3.3 URL净化器曝SSRF绕过漏洞

GitHub 安全通告 GHSA-4mfg-r38w-w8fg 披露，mcp-sanitizer v1.3.3 的 URL 净化逻辑存在 SSRF 绕过：当 localhost URL 带显式端口（如 http://localhost:8080/），或 IPv6 环回/链路本地地址使用方括号写法（如 http://[::1]:8080/、http://[fe80::1]:8080/）时，validateURLLocation() 函数未能拦截。该漏洞无需认证、无需特殊配置、无需用户交互，在默认中间件路径即可被利用。 基线测试显示，该库对 http://localhost/ 和 http://127.0.0.1/ 的拦截正常（blocked: true），说明这是验证逻辑中的精确缺口，而非整体失效。

AI 根据报道生成 · 13 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。