何が起きたか
SSRFを許可していた同じ権限のない /api/mcp/fetch-tools エンドポイントがstdioトランスポートも受け入れ、攻撃者制御の引数で攻撃者提供のコマンドを起動するため、認証済みの任意のユーザーがバックエンドホスト上でコマンド実行を可能にする。
なぜ重要か
低権限ユーザー（またはプロンプトインジェクションによって操られたエージェント）は、ツール取得APIをエージェントプラットフォーム上のホストシェルアクセスに変換し、バックエンドの侵害にエスカレートできる。
攻撃経路
任意の認証済みユーザー（最低ロール）が到達可能な POST /api/mcp/fetch-tools は、stdio MCPトランスポートを受け入れ、攻撃者制御の引数で攻撃者提供のコマンドを起動し、バックエンド上のコマンド実行をもたらす。
影響を受けるシステム
heymrun/heym < 0.0.75 (POST /api/mcp/fetch-tools stdioトランスポート)
緩和策
heym 0.0.75+ にアップグレードしてください。fetch-toolsへのアクセスを信頼されたユーザーに制限し、MCPトランスポートの許可リストを制約してください。