priyankark a11y-mcp index.js A11yServer サーバーサイドリクエストフォージェリ

priyankarkが開発したa11y-mcpライブラリにおいて、バージョン1.0.5までの脆弱性が発見されました。この脆弱性は、ファイルsrc/index.js内のA11yServer関数に存在します。ローカル環境にいる攻撃者がこの関数を操作することで、内部または外部のリソースへのリクエストを送信し、システムセキュリティを侵害する可能性があります。この脆弱性の公開により、悪用されるリスクが高まります。特に、製品が継続的なリリースモデルで動作しているため、影響を受ける特定のバージョンと更新されたバージョンを特定することが困難です。この脆弱性の深刻度はCVSS 5.3と評価されており、中程度のリスクを示しています。

Organizations deploying a11y-mcp in environments where local network access is possible are at risk. This includes development environments, internal testing systems, and production deployments where the application interacts with internal services. Shared hosting environments utilizing this package are also potentially vulnerable.

• nodejs / server:

  npm list a11y-mcp

If the output shows a version less than 1.0.6, the system is vulnerable. • nodejs / server:

  npm audit a11y-mcp

This command will identify the vulnerability and suggest an upgrade. • generic web: Inspect network traffic for unusual outbound requests originating from the application server. Look for requests to internal services or resources that the application should not be accessing.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-02Patch

   patch

1. 予約済み2026-04-01
2. 公開日2026-04-02
3. 更新日2026-04-04
4. EPSS 更新日2026-04-09

この脆弱性に対する主な軽減策は、a11y-mcpライブラリをバージョン1.0.6以降にアップグレードすることです。継続的なリリースモデルのため、特定の脆弱バージョンまたは更新バージョンはリストされていません。ライブラリの更新を監視し、利用可能になったらすぐにアップグレードを適用することをお勧めします。さらに、A11yServerによって行われるリクエストに対して許可されたドメインのホワイトリストを実装するなど、追加のセキュリティコントロールを実装することで、SSRFの悪用の潜在的な範囲を制限することをお勧めします。リクエスト処理における潜在的な脆弱性を特定して修正するために、コードレビューを実施することも推奨されます。