PoC-CVE-2026-23744

MCPJam Inspector <= 1.4.2 원격 코드 실행(RCE)

CVE-2026-23744는 MCPJam Inspector(버전 <= 1.4.2)의 치명적인 취약점으로, 인증 없이 원격 코드 실행(RCE)이 가능합니다. 이 결함은 애플리케이션의 내부 API 서버가 기본적으로 모든 네트워크 인터페이스(0.0.0.0)에 바인딩되고 /api/mcp/connect 엔드포인트에 인증이 없기 때문에 발생합니다. 공격자는 이 엔드포인트에 조작된 JSON 페이로드를 전송하여 Inspector를 실행 중인 사용자의 권한으로 임의 명령을 실행할 수 있습니다.

python3 exploit.py https://mpc.kobold.htb <IP> <PORT>

참고 자료

https://github.com/MCPJam/inspector/security/advisories/GHSA-232v-j27c-5pp6