FastGPT 是一个 AI Agent 构建平台。在 4.14.9.5 版本之前，FastGPT 的 MCP (Model Context Protocol) 工具端点 (/api/core/app/mcpTools/getTools 和 /api/core/app/mcpTools/runTool) 接受用户提供的 URL 参数，并向其发起服务器端的 HTTP 请求，而没有验证该 URL 是否指向内部/私有网络地址。虽然该应用程序具有专门的 isInternalAddress() 函数用于 SSRF 保护（在其他端点，如 HTTP 工作流节点中使用），但 MCP 工具端点没有调用此函数。经过身份验证的攻击者可以使用这些端点扫描内部网络、访问云元数据服务以及与内部服务（如 MongoDB 和 Redis）进行交互。此问题已在 4.14.9.5 版本中修复。

攻击者可以利用此 SSRF 漏洞访问 FastGPT 服务器内部的网络资源，例如数据库、内部 API 或其他敏感服务。攻击者可以通过 MCP 工具端点（/api/core/app/mcpTools/getTools 和 /api/core/app/mcpTools/runTool）构造恶意的 URL 参数，使服务器向攻击者控制的外部服务器或内部网络地址发起请求。这可能导致攻击者获取敏感数据，例如数据库凭据、API 密钥或内部系统配置信息。此外，攻击者还可能利用此漏洞进行横向移动，攻击 FastGPT 服务器所在的内部网络中的其他系统。由于 FastGPT 通常用于构建 AI Agent，因此该漏洞可能导致 AI Agent 访问未经授权的数据或执行恶意操作。

Organizations deploying FastGPT for AI agent building, particularly those with internal services accessible from the application server, are at risk. Shared hosting environments where multiple users share the same FastGPT instance are also vulnerable, as an attacker could potentially exploit the vulnerability through another user's account.

• linux / server:

journalctl -u fastgpt | grep -i "mcpTools"

• generic web:

curl -I <fastgpt_url>/api/core/app/mcpTools/getTools?url=<internal_ip>

• database (redis):

INFO server

Review the output for any unusual connections or requests originating from the MCP tools endpoints.

1. 2026-03-31Disclosure

   disclosure

1. 已保留2026-03-25
2. 发布日期2026-03-31
3. 修改日期2026-04-01
4. EPSS 更新日期2026-04-08

解决此漏洞的首要措施是立即将 FastGPT 升级至 4.14.9.5 或更高版本。如果无法立即升级，可以考虑以下缓解措施：首先，限制 FastGPT 服务器的网络访问权限，只允许其访问必要的外部资源。其次，在 FastGPT 服务器前端部署 Web 应用防火墙 (WAF)，配置规则以阻止恶意 URL 参数的请求。第三，审查 FastGPT 的配置，确保 MCP 工具端点的访问权限受到严格控制。第四，监控 FastGPT 服务器的日志，查找可疑的 SSRF 行为，例如对内部网络地址的异常请求。升级后，请验证漏洞是否已成功修复，可以通过尝试访问内部网络资源来确认。