인증되지 않은 MCP 인터페이스 + CORS 우회

Sliver의 MCP 서버는 인증되지 않은 SSE 인터페이스를 구동하며 모든 응답에 Access-Control-Allow-Origin: *를 반환합니다.

mcp-go 라이브러리는 Content-Type을 검증하지 않으므로, 단순 요청(text/plain)은 브라우저의 사전 요청(preflight) 검사를 완전히 건너뜁니다. OPTIONS 없음. CORS 차단 없음. 인증 없음. 운영자가 방문하는 모든 페이지는 자동으로 자신의 C2와 통신할 수 있습니다.