注目★★★★★GitHub Advisory
Chainlit の MCP 機能に SSRF 脆弱性、内部ネットワークへのアクセスが可能に
30秒で把握
- 1Chainlit v2.12.0 未満で MCP 機能の SSRF 脆弱性 CVE-2026-45019、認証なしで任意 URL へリクエスト可能
- 2MCP が有効な環境で内部ネットワークサービス・クラウドメタデータエンドポイントへアクセス可能、Authorization ヘッダ改ざんにより認証回避も可能
- 3v2.7.0 以降は MCP デフォルト無効のため大多数不影響、設定で有効化している環境は v2.12.0 へアップグレードと設定確認が必須
要約
Chainlit v2.12.0 未満の MCP 機能で SSRF (Server-Side Request Forgery) 脆弱性 CVE-2026-45019 が確認された。MCP が有効化されている場合、`POST /mcp` エンドポイントが `sse` および `streamable-http` トランスポート経由で検証なしに任意の URL と HTTP ヘッダ (Authorization・Cookie 等) を受け付けるため、認証なしの攻撃者が内部ネットワークサービスやクラウドメタデータエンドポイントへのリクエストをサーバに強制できる。v2.7.0 以降は MCP がデフォルト無効化されているため、大多数の Chainlit デプロイメントは影響を受けないが、明示的に有効化している環境は即パッチが必要。
あなたへの影響
Chainlit を本番運用しており `.chainlit/config.toml` で `features.mcp.enabled = true` に設定している場合、内部ネットワークやメタデータエンドポイント (AWS IAM ロール認証情報等) の公開リスクがあるため、v2.12.0 への即時アップグレードと設定確認が必須。
推奨：デフォルト無効なため既存デプロイメントの多くは対応不要だが、意図的に MCP を有効化している環境は確認推奨。