무슨 일이 있었나
Chainlit의 MCP 엔드포인트 검증은 공격자가 '..;' 세그먼트를 포함하여 경로 범위가 지정된 allowed_urls 항목을 우회할 수 있게 하여, 운영자가 승인하지 않은 경로로 SSRF를 가능하게 합니다. 2026-11-02에 GitHub Security Advisory 및 VulnCheck advisory와 함께 게시되었습니다. 이는 프레임워크의 네이티브 Model Context Protocol 표면에서의 중간 심각도 (CVSS 3.1 5.4 / CVSS 4.0 6.3) 서버 측 요청 위조입니다.
왜 중요한가
Chainlit은 LLM/챗봇 애플리케이션 구축을 위한 널리 사용되는 오픈소스 프레임워크이며 에이전트와 사용자가 호출하는 MCP 엔드포인트를 노출합니다. 경로 범위가 지정된 MCP 허용 목록을 우회하면 프레임워크의 자체 MCP 서버가 임의 요청 프리미티브로 변환되어 공격자가 운영자가 차단했다고 생각한 내부 메타데이터, 관리자 경로 또는 인접 서비스에 도달할 수 있습니다.
공격 경로
인증되지 않은 공격자는 '/mcp' 엔드포인트에 '..;' 경로 세그먼트를 포함한 MCP URL을 제출합니다. Chainlit의 validate_mcp_url은 세미콜론 문자를 거부하지 않으므로, 경로 범위 접두사가 allowed_urls 승인을 통과하는 URL은 (세미콜론 경로 매개변수를 제거하는 오리진에서) 운영자의 인증 범위 밖의 경로로 해석될 수 있어 서버 측 요청 위조가 발생합니다.
영향받는 시스템
Chainlit 2.12.0 (GHSA-hvfh-5mj3-5f3j에 따른 더 넓은 범위); backend/chainlit/mcp.py의 validate_mcp_url
완화 방안
GHSA-hvfh-5mj3-5f3j / VulnCheck advisory에 명시된 패치 버전으로 Chainlit을 업그레이드하십시오; validate_mcp_url에서 세미콜론 문자를 거부하고 MCP URL을 허용된 경로 범위로 제한하십시오; 백엔드 오리진이 실제로 세미콜론 경로 매개변수를 제거하는지 확인하십시오.