事件经过
CVE-2026-14748（CVSS 6.3中等，发布于2026-07-05）是一个MCP服务器工具中的SSRF漏洞，该工具总结wiki内容，可通过操纵传递给该工具的url参数来达到。
影响分析
MCP服务器可由LLM Agent直接调用；此处的SSRF使提示注入或恶意Agent能够从MCP服务器的网络位置请求内部云元数据端点或内部服务。
攻击途径
wiki总结MCP工具接受调用者提供的url参数，没有足够的验证，允许攻击者使MCP服务器向任意内部或外部端点发起请求（SSRF）。
受影响系统
AIAnytime Awesome-MCP-Server、mcp-wiki/wiki-summary组件（截至提交a884bb51bcd99e08e14fd712c749d55d9d9a13ab）
缓解措施
在披露时没有确认修复版本；限制MCP工具网络出口并验证/allowlist目标URL。