热点事件持续更新

Heym MCP fetch-tools 端点曝 SSRF 漏洞

1 篇报道1 个报道来源2 小时前更新

先了解这件事

AI 综述

Heym 0.0.70 之前版本的 POST /api/mcp/fetch-tools 端点存在服务端请求伪造（SSRF）漏洞，编号 CVE-2026-67542，CVSS 评分 7.1。据 cve.now 披露，当该端点使用 sse 或 streamable_http 传输时，任意已登录用户（包括最低角色）都能让服务器抓取攻击者指定的 URL，并可控制请求头；错误信息会泄露部分结果。该漏洞缺少 scheme、私有 IP、允许列表和重定向防护，可被用于访问本地或私有地址。Heym 已在 0.0.70 版本中修复。

AI 根据报道生成 · 1 小时前更新

最新进展11月12日 05:48

Heym 修复 CVE-2026-67542：POST /api/mcp/fetch-tools 存在 SSRF 漏洞，任意已认证用户可经 SSE 与 streamable-HTTP 传输访问本地/私有 URL

报道时间线

沿着报道，了解事件的不同侧面。

11月12日

05:48
cve.now
Heym 修复 CVE-2026-67542：POST /api/mcp/fetch-tools 存在 SSRF 漏洞，任意已认证用户可经 SSE 与 streamable-HTTP 传输访问本地/私有 URL
Heym 在 0.0.70 之前版本的 POST /api/mcp/fetch-tools 端点存在 SSRF 漏洞（CVE-2026-67542，CVSS 7.1），任意已认证用户（含最低角色）可经 sse 或 streamable_http 传输让服务器抓取攻击者指定的 URL，且无 scheme / 私有 IP / 允许列表 / 重定向防护。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。