Podatności @zereight/mcp-gitlab

Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.27 w trybie transportu SSE (SSE=true) udostępnia wszystkie narzędzia MCP bez uwierzytelniania. Narzędzie upload_markdown odczytuje dowolne pliki z lokalnego systemu plików serwera przez nieoczyszczony parametr file_path i wysyła je do projektu GitLab.

Serwer Model Context Protocol dla GitLab @zereight/mcp-gitlab w wersjach przed 2.1.30 udostępnia punkt końcowy Streamable HTTP MCP bez skutecznej listy dozwolonych nagłówków Host lub Origin. Złośliwa strona internetowa może wykorzystać DNS rebinding do przekierowania żądań przeglądarki do lokalnego odbiornika MCP ofiary, zachowując nagłówki Host i Origin kontrolowane przez atakującego.

Serwer MCP @zereight/mcp-gitlab w wersjach od 0.0.1 do 2.1.26, przy włączonej zmiennej środowiskowej ENABLE_DYNAMIC_API_URL=true, odczytuje nagłówek HTTP X-GitLab-API-URL i używa go jako bazowego adresu dla wychodzących zapytań do API GitLab. Serwer sprawdza jedynie poprawność formatu URL, nie stosując żadnej listy dozwolonych hostów, a następnie dołącza token Private-Token ofiary do każdego przekierowanego zapytania. Wersja 2.1.27 zawiera poprawkę.