skoveit/cve-2026-34227प्रूफ-ऑफ-कॉन्सेप्ट जो Sliver के अनधिकृत MCP इंटरफ़ेस पर CORS से CSRF श्रृंखला का प्रदर्शन करता है, जिससे किसी भी वेबपेज से C2 के साथ मौन इंटरैक्शन संभव हो जाता है।
Sliver का MCP सर्वर एक अनप्रमाणित SSE इंटरफ़ेस शुरू करता है और हर प्रतिक्रिया पर Access-Control-Allow-Origin: * वापस भेजता है।
mcp-go लाइब्रेरी Content-Type को मान्य नहीं करती है, इसलिए सिंपल रिक्वेस्ट (text/plain) ब्राउज़र के प्रीफ्लाइट चेक को पूरी तरह से बायपास कर देती हैं। कोई OPTIONS नहीं। कोई CORS ब्लॉक नहीं। कोई प्रमाणीकरण नहीं। कोई भी पेज जिसे कोई ऑपरेटर विज़िट करता है, चुपचाप उनके C2 से बात कर सकता है।
→ GitHub सुरक्षा सलाहकार GHSA-6fpf-248c-m7wm
@skoveit द्वारा खोजा और रिपोर्ट किया गया
