skoveit/cve-2026-34227Prueba de concepto que demuestra la cadena CORS a CSRF en la interfaz MCP no autenticada de Sliver, permitiendo la interacción silenciosa con el C2 desde cualquier página web.
El servidor MCP de Sliver levanta una interfaz SSE no autenticada y responde con Access-Control-Allow-Origin: * en cada respuesta.
La librería mcp-go no valida el Content-Type, por lo que las Solicitudes Simples (text/plain) omiten por completo la comprobación de preflight del navegador. Sin OPTIONS. Sin bloqueo de CORS. Sin autenticación. Cualquier página que visite un operador puede comunicarse silenciosamente con su C2.
→ Aviso de Seguridad de GitHub GHSA-6fpf-248c-m7wm
descubierto y reportado por @skoveit
