Chainlit 2.12.0 MCP SSRF 漏洞披露
热点事件持续更新
Chainlit 2.12.0 MCP SSRF 漏洞披露
1 篇报道1 个报道来源2 小时前更新
先了解这件事
AI 综述
CVE-2026-120492 披露 Chainlit 2.12.0 存在服务端请求伪造（SSRF）漏洞，CVSS 评分 6.3（Medium）：validate_mcp_url 未拒绝分号字符，未认证攻击者可向 /mcp 端点提交含 `..;` 路径段的 MCP URL，绕过路径限定的 allowed_urls，在会剥离分号路径参数的源站上请求授权范围之外的路径。 该漏洞未列入 CISA KEV，暂无已知利用，官方尚未给出修复版本。
AI 根据报道生成 · 2 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
11月2日
- cve.nowCVE-2026-120492：Chainlit 2.12.0 MCP allowed_urls 分号路径段 SSRF 漏洞
Chainlit 2.12.0 存在 CVE-2026-120492 服务端请求伪造（SSRF）漏洞，CVSS 6.3（Medium），因 validate_mcp_url 未拒绝分号字符，未认证攻击者可向 /mcp 端点提交含 `..;` 段的 MCP URL 绕过路径限定的 allowed_urls。该漏洞未列入 CISA KEV，暂无已知利用，官方尚未给出修复版本。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。