事件经过
IBM ContextForge MCP 网关 0.1.0 至 1.0.5 版本在支持 OAuth 的网关注册过程中未验证 oauth_config.token_url。具有网关创建权限的认证用户可提供指向内部服务、云元数据端点（AWS IMDSv1、GCP、Azure）或 localhost 的恶意 token_url。应用会立即向该 URL 发送表单编码的凭据，并在 HTTP 502 响应中回显最多 256 个字符的响应内容——从而绕过了应用于 gateway.url 但未应用于 OAuth 配置的 SSRF 防护。
影响分析
在 MCP 网关中，操作员控制代理可访问的第三方工具；伪造的 token_url 允许低权限的网关创建者读取云实例元数据（IAM 凭据）或使用网关自身的凭据访问内部服务，然后外泄回显的响应。这是企业 MCP 基础设施中一条具体的凭据/SSRF 路径。
攻击途径
认证的网关注册提供恶意 oauth_config.token_url，强制发起出站 POST 并回显部分响应
受影响系统
IBM ContextForge MCP 网关 0.1.0 至 1.0.5
缓解措施
遵循 IBM 公告（ibm.com/support/pages/node/7285723）；验证/白名单 OAuth token_url 并阻止私有/环回/元数据端点