OSV.dev
PulseAugur coverage of OSV.dev — every cluster mentioning OSV.dev across labs, papers, and developer communities, ranked by signal.
2 天有情绪数据
-
npm audit 遗漏了 MCP Inspector 的严重漏洞
MCP Inspector 工具中已发现严重的は安全漏洞，具体影响 1.x 系列中 1.0.2 及更早版本，以及 2.x 系列中 2.12.0 及更早版本。这些漏洞的 CVSS 评分为 9.6，可能允许恶意的 MCP 服务器在用户计算机上执行命令。值得注意的是，这些安全公告尚未在 GitHub 或 OSV.dev 等主要全球漏洞数据库中注册，这意味着像 npm audit 这样的标准工具可能不会标记使用受影响版本的项目。建议用户手动检…
-
安全扫描发现PraisonAI在排名前500的MCP服务器中存在漏洞
对排名前500的MCP服务器进行的安全扫描显示，虽然大多数服务器是安全的，但其中一个服务器PraisonAI存在大量未修复的漏洞。此次扫描分析了MCP官方注册表中基于下载量的服务器，在所有服务器中发现了112个独特的安全公告，仅影响了六个服务器。其中，PraisonAI是唯一一个存在当前漏洞的服务器，包括身份验证绕过和未经身份验证的作业API问题。另外五个服务器曾有过安全公告，但其维护者已修复。
-
MCP 依赖项扫描会错过更深层程序包中的关键漏洞
一项安全分析显示，标准的依赖项扫描工具可能会错过 Model Context Protocol (MCP) 服务器中的关键漏洞。这些工具通常只检查顶层程序包清单，未能检测到更深层已安装依赖项（如 `@modelcontextprotocol/[email protected]`）中的问题。即使扫描报告零问题，这种疏忽也可能导致存在多个高危漏洞，包括 ReDoS 和 DNS 重新绑定漏洞。
-
MCP 包存在隐藏的漏洞和恶意注册风险
对 npm 和 PyPI 上的 31 个 MCP 服务器包进行的安全性审计显示存在严重漏洞，其中 11 个包在其安装的依赖项树中总共包含 54 个独特的漏洞。这凸显了一个关键缺陷，即直接的包检查不足够，因为恶意代码或过时的依赖项可能隐藏在更广泛的安装树中。由于其分散的性质、缺乏中央注册机构以及严重依赖 AI 生成的推荐（这些推荐可能无意中建议了受损的包），MCP 生态系统特别容易受到恶意注册和供应链攻击的影响。