CVE-2026-34742— MCP Go SDK 安全漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-34742の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Model Context Protocol Go SDK: DNS Rebinding Protection Disabled by Default for Servers Running on Localhost
ソース: NVD (National Vulnerability Database)
脆弱性説明
The Go MCP SDK used Go's standard encoding/json. Prior to version 1.4.0, the Model Context Protocol (MCP) Go SDK does not enable DNS rebinding protection by default for HTTP-based servers. When an HTTP-based MCP server is run on localhost without authentication with StreamableHTTPHandler or SSEHandler, a malicious website could exploit DNS rebinding to bypass same-origin policy restrictions and send requests to the local MCP server. This could allow an attacker to invoke tools or access resources exposed by the MCP server on behalf of the user in those limited circumstances. This issue has been patched in version 1.4.0.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
不安全的默认资源初始化
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
MCP Go SDK 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
MCP Go SDK是Model Context Protocol开源的一个模型上下文协议开发工具包。 MCP Go SDK 1.4.0之前版本存在安全漏洞，该漏洞源于默认未启用DNS重绑定保护，可能导致恶意网站绕过同源策略限制并向本地MCP服务器发送请求。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| modelcontextprotocol | go-sdk | < 1.4.0 | - |
II. CVE-2026-34742の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-34742のインテリジェンス情報
请登录查看更多情报信息。
- Release v1.4.0 · modelcontextprotocol/go-sdk · GitHubx_refsource_MISC
- https://nvd.nist.gov/vuln/detail/CVE-2026-34742
IV. 関連脆弱性
同じベンダー: modelcontextprotocol
- CVE-2026-35568
MCP Java-SDK has a DNS Rebinding Vulnerability - CVE-2026-34237
MCP Java SDK has a Hardcoded Wildcard CORS (Access-Control-A - CVE-2026-33946
MCP Ruby SDK: Insufficient Session Binding Allows SSE Stream - CVE-2026-33252
MCP Go SDK Allows Cross-Site Tool Execution for HTTP Servers - CVE-2026-27896
MCP Go SDK Vulnerable to Improper Handling of Case Sensitivi
同じ弱点: CWE-1188
- CVE-2026-44109
OpenClaw < 2026.4.15 - Authentication Bypass in Feishu Webho - CVE-2026-43581
OpenClaw < 2026.4.10 - Chrome DevTools Protocol Exposure via - CVE-2026-41931
Vvveb < 1.0.8.2 Information Disclosure via Debug Exception H - CVE-2025-31974
HCL BigFix Service Management (SM) is susceptible to a Root - CVE-2026-39920
BridgeHead FileStore < 24A Apache Axis2 Default Credentials
V. CVE-2026-34742へのコメント
まだコメントはありません