MCP Inspector corrige bloqueio SSRF incompleto e falha de DoS

O projeto Model Context Protocol lançou as versões Inspector v2.15.0 e v1.0.5 em 11 de novembro de 2026, corrigindo um bloqueio SSRF incompleto e uma falha de crescimento ilimitado de memória em sua ferramenta oficial de depuração de servidores e clientes MCP, segundo o aviso no GitHub sobre a correção do bloqueio SSRF.

O que mudou no patch

• GHSA-fvg8-f358-w2c8: a função de bloqueio SSRF isBlockedAddress bloqueava apenas 169.254.0.0/16, fe80::/10 e fd00:ec2::254, sem cobrir os metadados do Alibaba Cloud ECS (100.100.100.200) nem os metadados retirados do Oracle Cloud Classic (192.0.0.192).
• A falha afeta as versões v2 do Inspector de 2.13.0 a 2.14.0 e toda a linha v1, corrigida em v2.15.0 e v1.0.5.
• Ela só é explorável por meio de um servidor OAuth hostil combinado com um IMDS não protegido, e foi classificada como severidade média ou baixa.
• GHSA-9w48-x22j-rrm7: o rastreador de logs de rede lia por completo as respostas POST do tipo text/event-stream sem limite de tamanho, permitindo crescimento ilimitado de memória e travando o backend de todas as sessões conectadas; a v2.15.0 corrige isso com um leitor limitado a 1 MiB, conforme o aviso no GitHub sobre a correção do buffer ilimitado.
• A v1.0.5 também atualizou a dependência npm open para a versão 11 ou superior para corrigir GHSA-q978-78c7-phqw, uma RCE por injeção de subexpressão do PowerShell acessível por uma URL de redirecionamento OAuth maliciosa no Windows ou WSL, registrada no aviso de acompanhamento do lançamento da v1.0.5.

O que isso significa para quem constrói com MCP

O MCP Inspector é a ferramenta de referência oficial que desenvolvedores usam para testar e depurar servidores e clientes MCP, então uma falha que permitia a um servidor MCP ou OAuth malicioso acessar endpoints de metadados de instâncias na nuvem, ou travar uma sessão de depuração, comprometia a própria ferramenta criada para validar a segurança de servidores MCP. Equipes que executam o Inspector contra servidores não confiáveis devem atualizar antes de confiar nele para validar o comportamento do servidor.

Nenhuma exploração conhecida

O aviso informa que nenhuma das três falhas, a lacuna no bloqueio SSRF, o buffer ilimitado que causava o DoS ou o caminho de RCE no Windows corrigido pela atualização da dependência, foi explorada na prática; as três foram correções proativas e coordenadas, e o caminho de RCE não era de fato acessível no Inspector v1.

Fontes

• MCP Inspector SSRF guard metadata gap (GitHub - Model Context Protocol, 11 de novembro de 2026, oficial)
• MCP Inspector unbounded buffer DoS (GitHub - Model Context Protocol, 11 de novembro de 2026, oficial)
• Inspector v1.0.5 release tracking issue (GitHub - Model Context Protocol, 11 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.