inzegosec/cve-2026-23744Эксплойт для MCPJam Inspector <=1.4.2, который запускает удалённое выполнение кода через специально сформированные HTTP-запросы, позволяя несанкционированную установку MCP-серверов без взаимодействия с пользователем.
Эксплойт для MCPJam Inspector <=1.4.2
Установите библиотеки с помощью: pip install -r requirements.txt - используйте python CVE-2026-23744 --help для получения информации
MCPJam inspector — это локальная платформа разработки для MCP-серверов. Последняя версия 1.4.2 и более ранние версии уязвимы к удалённому выполнению кода (RCE), что позволяет атакующему отправить специально сформированный HTTP-запрос, который запускает установку MCP-сервера, приводящую к RCE.
Эта уязвимость похожа на CVE-2025-49596, но более серьёзная. В то время как CVE-2025-49596 требует обмана пользователя, чтобы он перешёл по вредоносной ссылке, данная уязвимость эксплуатируется без какого-либо взаимодействия с пользователем. Поскольку MCPJam inspector по умолчанию прослушивает адрес 0.0.0.0 вместо 127.0.0.1, атакующий может удалённо запустить RCE с помощью простого HTTP-запроса.
