Podatności FastMCP

W FastMCP w wersji przed 3.2.0, w klasie RequestDirector w metodzie _build_url() brakuje kodowania URL parametrów ścieżki. Pozwala to atakującemu na wstrzyknięcie sekwencji ../ i wykonanie ataku typu path traversal, co umożliwia dostęp do dowolnych wewnętrznych punktów końcowych.

W FastMCP przed wersją 3.2.0 stwierdzono podatność Confused Deputy w komponencie OAuthProxy. Podczas integracji z GitHub OAuth serwer nieprawidłowo weryfikuje zgodę użytkownika, co w połączeniu z pomijaniem ekranu zgody przez GitHub umożliwia atak.

Podatność w FastMCP przed wersją 3.2.0. Nazwy serwerów zawierające metaznaki powłoki (np. &) mogą powodować wstrzyknięcie komend w systemie Windows podczas instalacji przez fastmcp install claude-code lub gemini-cli.

W bibliotece FastMCP przed wersją 2.14.2 serwer nieprawidłowo przetwarza parametr zasobu przesłany przez klienta w żądaniu autoryzacji i tokena. Token jest wydawany dla base_url przekazanego do OAuthProxy podczas inicjalizacji, a nie dla konkretnego serwera MCP.

FastMCP to standardowy framework do budowania aplikacji MCP. W wersjach przed 2.13.0 występuje podatność na wstrzyknięcie poleceń, która pozwala każdemu atakującemu, mogącemu wpłynąć na pole server_name w MCP, na wykonanie dowolnych poleceń systemowych na hostach z systemem Windows, które uruchamiają fastmcp install cursor. Podatność została naprawiona w wersji 2.13.0.

FastMCP przed wersją 2.13.0 ma podatność na odbity XSS w stronie wywołania zwrotnego klienta OAuth (oauth_callback.py), gdzie nieuciekane wartości kontrolowane przez użytkownika są wstawiane do generowanego HTML, co pozwala na wykonanie dowolnego JavaScriptu w kontekście serwera wywołania zwrotnego. Problem został naprawiony w wersji 2.13.0.