callerAccess

MCP服务器令牌检查不足，暴露租户数据

在MCP（多渠道平台）服务器中发现了一个安全漏洞，其中仅令牌验证不足以阻止未经授权访问另一个租户的数据。虽然服务器正确验证了持有者令牌和范围，但它未能检查调用者是否有权访问模型请求的特定资源。如果模型无意中在其请求中包含另一个租户的服务名称，则此疏忽可能导致用户访问来自不同租户的部署历史记录或其他敏感信息。建议的解决方案是在每个工具中实现特定于资源的权限检查，以确保只有授权用户可以访问他们各自的数据。