skoveit/cve-2026-34227Preuve de concept démontrant la chaîne CORS vers CSRF sur l'interface MCP non authentifiée de Sliver, permettant une interaction silencieuse avec le C2 depuis n'importe quelle page web.
Le serveur MCP de Sliver démarre une interface SSE non authentifiée et renvoie Access-Control-Allow-Origin: * sur chaque réponse.
La bibliothèque mcp-go ne valide pas le Content-Type, donc les Requêtes Simples (text/plain) contournent entièrement la vérification de pré-vol du navigateur. Pas d'OPTIONS. Pas de blocage CORS. Pas d'authentification. Toute page visitée par un opérateur peut communiquer silencieusement avec son C2.
→ Avis de sécurité GitHub GHSA-6fpf-248c-m7wm
découvert et signalé par @skoveit
