CVE-2026-45019
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Chainlit w wersjach od 2.4.0rc0 do 2.12.0, gdy funkcja features.mcp.enabled jest włączona, udostępnia endpoint POST /mcp bez wymaganego uwierzytelnienia. Atakujący może kontrolować adres URL i nagłówki żądań, co pozwala na wysyłanie żądań do wewnętrznych lub zewnętrznych usług, w tym do metadanych chmury, z dowolnymi nagłówkami Authorization i Cookie. Problem został naprawiony w wersji 2.12.0.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wewnętrznych zasobów, skanowanie portów, wykrywanie usług oraz możliwość wykonywania żądań zmieniających stan systemu, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Chainlit do wersji 2.12.0 lub nowszej oraz, jeśli to możliwe, wyłączenie funkcji MCP lub ograniczenie dostępu do endpointu /mcp.
Inne podatności w Chainlit
Zobacz wszystkie- CVE-2026-45018Krytyczne
Chainlit w wersjach od 2.4.0rc0 do 2.12.0, gdy funkcja features.mcp.enabled jest ustawiona na true, udostępnia endpoint POST /mcp bez wymaganego uwierzytelnienia. Dla transportu stdio endpoint akceptuje kontrolowany przez użytkownika ciąg fullCommand, a walidacja sprawdza tylko nazwę pliku wykonywalnego, co pozwala na wykonanie dowolnych poleceń przez argument -c w npx.
- CVE-2026-22219Wysokie
Podatność SSRF w Chainlit przed wersją 2.9.4 pozwala uwierzytelnionemu atakującemu na wykonanie żądań HTTP z serwera do wewnętrznych usług sieciowych lub punktów końcowych metadanych chmury poprzez kontrolowany przez użytkownika adres URL w elemencie podczas aktualizacji przepływu /project/element z backendem SQLAlchemy.
- CVE-2026-22218Średnie
Podatność w Chainlit przed wersją 2.9.4 umożliwia uwierzytelnionemu atakującemu odczyt dowolnego pliku na serwerze poprzez manipulację ścieżką w żądaniu aktualizacji elementu projektu. Atakujący może skopiować plik do swojej sesji, a następnie pobrać go za pomocą identyfikatora elementu.
- CVE-2026-82290Średnie
Chainlit do wersji 2.12.0 nie waliduje własności rekordów opinii w punktach końcowych PUT i DELETE. Uwierzytelnieni atakujący mogą usuwać lub modyfikować opinie innych użytkowników, podając dowolne identyfikatory opinii, co może zepsuć dane oceny ludzkiej używane do ewaluacji modeli.
- CVE-2026-56104Wysokie
Chainlit przed wersją 2.10.1 zawiera podatność na przejęcie sesji, która pozwala nieuwierzytelnionym atakującym na przywrócenie i przejęcie uwierzytelnionych sesji użytkownika poprzez podanie prawidłowego identyfikatora sesji podczas przywracania sesji WebSocket bez weryfikacji własności. Atakujący mogą wykorzystać ścieżkę restore_existing_session, aby przejąć uprawnienia i role ofiary, umożliwiając nieautoryzowane wywoływanie narzędzi i dostęp do danych zastrzeżonych dla uwierzytelnionej ofiary.
Oryginalny opis (angielski, źródło NVD)
Chainlit is a Python framework for building production-ready conversational AI applications. From 2.4.0rc0 until 2.12.0, Chainlit deployments with features.mcp.enabled set to true in .chainlit/config.toml expose the POST /mcp endpoint without requiring authentication. For sse and streamable-http transports, ConnectSseMCPRequest and ConnectStreamableHttpMCPRequest in backend/chainlit/types.py accept a user-controlled url and optional headers dictionary without scheme validation, private-address filtering, or an allowlist. The connect_mcp handler in backend/chainlit/server.py passes these values to sse_client() or streamablehttp_client(), allowing the Chainlit server to make blind outbound requests to arbitrary internal or external services, including cloud metadata endpoints, with attacker-controlled Authorization and Cookie headers. The SSE URL sink has existed since 2.4.0rc0, while attacker-controlled header forwarding and streamable-http support were added in 2.6.4. The response is consumed internally and not returned, but the attacker can issue state-changing authenticated requests, discover internal services, scan ports, and probe metadata endpoints. This issue is fixed in version 2.12.0.