무슨 일이 있었나
mcp-from-openapi 2.5.0 이상 2.9.0 미만 버전은 교차 출처 리디렉션에서 Authorization 및 Cookie 헤더를 전달하여, 스펙 호스트를 제어하는 공격자나 공개 리디렉션을 통해 리디렉션된 fromURL() 스펙 요청에서 베어러 토큰이나 쿠키를 탈취할 수 있습니다. CVSS 3.7 (v3.1) / 6.3 (v4.0), 2026-10-23 게시. (동반 SSRF인 CVE-2026-115751은 후행 점 호스트 이름이 ssrf.blockedHosts 차단 목록을 우회하도록 합니다.)
왜 중요한가
MCP 서버 생성기는 원격 스펙을 가져와 저장된 자격 증명을 첨부합니다. 자격 증명 전달 결함은 해당 토큰을 공격자 제어 출처로 누출하여 MCP 서버의 업스트림 API 접근을 손상시킵니다.
공격 경로
safeFetch()는 교차 출처 리디렉션에서 Authorization 및 Cookie 헤더를 전달합니다 (CWE-522). 스펙 호스트를 제어하거나 공개 리디렉션을 가진 공격자는 fromURL() 스펙 요청을 자신의 출처로 지정하여 베어러 토큰이나 쿠키를 캡처할 수 있습니다.
영향받는 시스템
mcp-from-openapi (agentfront, npm) 2.5.0 이상 2.9.0 미만
완화 방안
mcp-from-openapi 2.9.0으로 업그레이드 (GHSA-ff5q-5r4v-fw4v, 커밋 47fb7a655de33958b0c923490ab244343eb5fc44); 신뢰된 호스트에서만 스펙을 로드하고 교차 출처 리디렉션에서 자격 증명을 제거할 것.