atototo api-lab-mcp HTTP http-server.ts test_http_endpoint 服务器端请求伪造

api-lab-mcp 在 0.2.1 及以下版本中发现了一个服务器端请求伪造 (SSRF) 漏洞。具体来说，文件 src/mcp/http-server.ts 中的 analyzeapispec/generatetestscenarios/testhttpendpoint 函数对 source/url 参数的篡改会导致 SSRF 漏洞。攻击者可以利用此漏洞向通常无法从外部访问的内部资源发送请求。这可能允许访问敏感数据、执行任意代码或与其它内部服务交互。漏洞利用代码的公开增加了恶意行为者利用此漏洞的风险。此漏洞影响 HTTP 接口组件，需要立即关注。

Organizations deploying atototo api-lab-mcp in production environments, particularly those with sensitive internal resources accessible via HTTP, are at significant risk. Shared hosting environments where multiple users share the same server instance are also vulnerable, as an attacker could potentially exploit the vulnerability to access resources belonging to other users.

• nodejs: Use npm audit to check for vulnerabilities in dependencies.

npm audit

• nodejs: Monitor process network connections for suspicious outbound requests using netstat or ss.

ss -t tcp -4 state established dst :80,443

• generic web: Examine access logs for requests containing unusual or unexpected URLs. Look for patterns indicative of SSRF attempts.

1. 2026-04-09Disclosure

   disclosure

1. 已保留2026-04-08
2. 发布日期2026-04-09
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-16

目前，此漏洞尚无官方修复程序。最有效的即时缓解措施是，一旦可用，升级到 api-lab-mcp 的更高版本。在此期间，建议实施额外的安全控制措施，例如能够检测和阻止 SSRF 请求的 Web 应用程序防火墙 (WAF)。此外，严格验证和清理所有用户输入，尤其是 URL，对于防止恶意值注入至关重要。监控网络流量中是否存在可疑模式也有助于识别和响应潜在攻击。建议联系 api-lab-mcp 开发团队，以获取有关未来更新和补丁的信息。