何が起きたか
mcp-from-openapi 2.5.0から2.9.0未満は、クロスオリジンリダイレクトでAuthorizationおよびCookieヘッダーを転送しており、specホストを制御する攻撃者またはオープンリダイレクトが、リダイレクトされたfromURL() specリクエストを介してベアラートークンやクッキーを窃取できる。CVSS 3.7 (v3.1) / 6.3 (v4.0)、2026-10-23公開。(関連するSSRFであるCVE-2026-115751は、末尾ドットのホスト名がssrf.blockedHostsのdenylistをバイパスできるようにする。)
なぜ重要か
MCPサーバージェネレーターはリモートspecを取得し、保存された資格情報を添付する。資格情報転送の欠陥により、それらのトークンが攻撃者制御のオリジンに漏洩し、MCPサーバーの上流APIアクセスが危険にさらされる。
攻撃経路
safeFetch()はクロスオリジンリダイレクトでAuthorizationおよびCookieヘッダーを転送する (CWE-522)。specホストを制御する攻撃者またはオープンリダイレクトは、fromURL() specリクエストを自分のオリジンに向けて、ベアラートークンやクッキーをキャプチャできる。
影響を受けるシステム
mcp-from-openapi (agentfront、npm) 2.5.0から2.9.0未満
緩和策
mcp-from-openapi 2.9.0にアップグレード (GHSA-ff5q-5r4v-fw4v、コミット 47fb7a655de33958b0c923490ab244343eb5fc44)。信頼されたホストからのみspecを読み込み、クロスオリジンリダイレクトで資格情報を剥がすこと。