inzegosec/cve-2026-23744Exploit pour MCPJam Inspector <=1.4.2 qui déclenche une exécution de code à distance via des requêtes HTTP malveillantes, permettant l'installation non autorisée de serveurs MCP sans interaction de l'utilisateur.
Exploit pour MCPJam Inspector <=1.4.2
Installez les bibliothèques avec : pip install -r requirements.txt - utilisez python CVE-2026-23744 --help pour plus d'informations
MCPJam inspector est la plateforme de développement local-first pour les serveurs MCP. Les versions 1.4.2 et antérieures sont vulnérables à une faille d'exécution de code à distance (RCE), qui permet à un attaquant d'envoyer une requête HTTP malveillante déclenchant l'installation d'un serveur MCP, conduisant à une RCE.
Cette vulnérabilité est similaire à CVE-2025-49596, mais plus grave. Alors que CVE-2025-49596 nécessite d'inciter un utilisateur à cliquer sur un lien malveillant, cette vulnérabilité est exploitable sans aucune interaction utilisateur. Étant donné que MCPJam inspector écoute par défaut sur 0.0.0.0 au lieu de 127.0.0.1, un attaquant peut déclencher la RCE à distance via une simple requête HTTP.
