JVNDB-2026-011405

lfprojectsのMCP Go SDKにおけるクロスサイトリクエストフォージェリの脆弱性

Go MCP SDKはGoの標準encoding/jsonを使用しています。バージョン1.4.1以前のGo SDKのStreamable HTTPトランスポートは、ブラウザが生成したクロスサイトの`POST`リクエストに対して`Origin`ヘッダーを検証せず、また`Content-Type: application/json`を要求しないまま受け入れていました。認証なしでの展開、特にステートレスまたはセッションレスの構成では、任意のウェブサイトがローカルサーバーにMCPリクエストを送信し、その結果ツールの実行を引き起こす可能性があります。バージョン1.4.1にはこの問題を修正した更新が含まれています。

lfprojects

• MCP Go SDK 1.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Cross-Site Tool Execution for HTTP Servers without Authorization in github.com/modelcontextprotocol/go-sdk  Advisory  modelcontextprotocol/go-sdk  GitHub

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-33252

1. National Vulnerability Database (NVD) : CVE-2026-33252
2. 関連文書 : mcp: verify 'Origin' and 'Content-Type' headers (#842)  modelcontextprotocol/go-sdk@a433a83  GitHub

• [2026年04月17日]
    掲載