Apa yang terjadi
Endpoint /api/mcp/fetch-tools tanpa hak istimewa yang sama yang mengizinkan SSRF juga menerima transport stdio, yang meluncurkan perintah yang disuplai penyerang dengan argumen yang dikendalikan penyerang, memberikan eksekusi perintah kepada pengguna terautentikasi mana pun di host backend.
Mengapa penting
Pengguna berhak rendah (atau agen yang diarahkan oleh injeksi prompt) dapat mengubah API pengambilan alat menjadi akses shell host di platform agen, yang meningkat menjadi kompromi backend.
Vektor serangan
POST /api/mcp/fetch-tools, yang dapat diakses oleh pengguna terautentikasi mana pun (peran terendah), menerima transport MCP stdio, yang memunculkan perintah yang disuplai penyerang dengan argumen yang dikendalikan penyerang — menghasilkan eksekusi perintah di backend.
Sistem yang terdampak
heymrun/heym < 0.0.75 (POST /api/mcp/fetch-tools transport stdio)
Mitigasi
Tingkatkan ke heym 0.0.75+. Batasi akses fetch-tools ke pengguna tepercaya; batasi daftar izin transport MCP.