Il server MCP mcp-webresearch versione 0.1.7 espone CVE-2026-65056, una falla di server-side request forgery con gravità 8.3 secondo CVSS 4.0: lo strumento visit_page verifica esclusivamente il protocollo dell'URL e indirizza il proprio browser Playwright verso indirizzi interni, inclusi gli endpoint di metadata cloud.
mcp-webresearch, pubblicato su npm come @mzxrai/mcp-webresearch, offre a un agente AI l'accesso live al web tramite il Model Context Protocol. Il server pilota un browser Playwright headless: strumenti come search_google, visit_page e take_screenshot permettono a un modello di recuperare pagine, leggerne il contenuto e catturare screenshot durante l'attività. I team di ingegneria lo collegano a Claude Desktop e ad altri host MCP per dotare gli agenti di una capacità di navigazione. Quel design pone un browser reale sotto il controllo del modello, e il modello trae parte delle proprie istruzioni dalle stesse pagine che legge. Ne nasce un confine di fiducia tra «il contenuto che l'agente recupera» e «le azioni che l'agente compie», e questo avviso trasforma quel confine in un'esposizione. Il Model Context Protocol è diventato lo strato di integrazione predefinito per gli agenti che usano strumenti in tutto il settore nel corso del 2026, il che rende la postura di sicurezza dei singoli server della community una questione di flotta anziché una nota a piè di pagina su un singolo pacchetto.
Cosa cambia — convalida basata sul protocollo
GitHub ha pubblicato l'avviso GHSA-r9hf-v7rm-5h4j il 21 luglio 2026, classificando il problema come CWE-918 con vettore CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N. La causa radice risiede in dist/index.js. La funzione isValidUrl alle righe 646-651 accetta qualsiasi URL il cui protocollo corrisponda a http: oppure https:, e il gestore visit_page alle righe 769-786 passa quell'URL direttamente a safePageNavigation. Quel controllo di protocollo lascia passare loopback, link-local e intervalli riservati accanto agli host pubblici legittimi. Il writeup del ricercatore traccia la medesima lacuna attraverso take_screenshot e attraverso gli URL seguiti dai risultati di search_google, ampliando la superficie interessata su tre strumenti.
La proof of concept naviga verso un percorso loopback, http://127.0.0.1:<port>/latest/meta-data/iam/, e recupera un segreto piantato, restituendo un contenuto che riporta WR_INTERNAL_IMDS_SECRET_iam-creds=AKIA9XEXFIL. Su un host cloud il percorso identico si risolve in http://169.254.169.254/latest/meta-data/, il servizio di metadata delle istanze AWS. L'avviso GitHub conferma che il contenuto della pagina recuperata, credenziali incluse, confluisce direttamente nel contesto del modello. Il VC:H abbinato a SC:H del vettore registra un'elevata perdita di riservatezza che attraversa un sistema a valle: il servizio di metadata e gli host interni stanno dietro il browser compromesso, oltre il suo stesso ambito di sicurezza. Una release corretta resta assente al momento della pubblicazione.
L'implicazione architetturale
Il percorso d'attacco indiretto determina la gravità qui. La stringa del vettore segna UI:A per l'interazione passiva e PR:N per privilegi azzerati: l'operatore avvia un'attività di ricerca ordinaria, e il testo avversariale incorporato in una pagina recuperata fornisce il redirect malevolo. Un risultato di ricerca confezionato ad arte oppure una pagina web avvelenata istruisce l'agente a visitare un URL interno; il server obbedisce, e le credenziali di metadata atterrano nella stessa finestra di contesto che il modello condivide con il contenuto influenzato dall'attaccante. L'iniezione entra, le credenziali escono: un anello di esfiltrazione completo che l'operatore innesca chiedendo all'agente di fare ricerca su un tema.
Due fatti strutturali amplificano la portata. Primo, il browser gira con la posizione di rete del proprio host, dunque un server in esecuzione dentro una VPC o su un'istanza cloud raggiunge endpoint che gli attaccanti esterni faticano a toccare per altre vie. Secondo, i server MCP girano di frequente su laptop di sviluppo e runner CI che custodiscono credenziali di alto valore, ponendo i servizi loopback e gli endpoint di metadata a un salto di distanza. Qualsiasi team che tratti «recupera un URL pubblico» come azione a bassa fiducia eredita una primitiva di lettura sulla rete privata nell'istante in cui aggiunge la navigazione a un agente.
Il pattern si generalizza oltre questo pacchetto. Qualsiasi strumento di agente che accetta un URL, un target di webhook, un percorso di file oppure una sorgente di immagine dall'output del modello presenta la medesima classe di esposizione, e l'ecosistema MCP ha prodotto una serie di riscontri comparabili tra gestione dell'autenticazione e superfici di comando. La lezione vale in tutti i casi: input controllato dal modello che raggiunge una primitiva di rete o di shell esige lo stesso scrutinio che un'applicazione web applica all'input fornito dall'utente, perché la pagina recuperata è essa stessa una parte inaffidabile dentro l'anello. I revisori che mappano quella classe una volta possono applicare la medesima checklist a ogni nuovo server che integrano.
La decisione per la leadership tecnica
Tratta ogni server MCP che pilota un browser o un client HTTP su URL forniti dal modello come una superficie di esfiltrazione dati, e sottoponilo ad audit questo trimestre. Per mcp-webresearch, sposta i deployment via da 0.1.7 e applica controlli di egress a livello di rete: blocca l'intervallo di metadata 169.254.0.0/16, 127.0.0.0/8, 0.0.0.0/8 e i blocchi privati RFC 1918 dallo spazio dei nomi del browser. Imponi IMDSv2 con un hop limit pari a 1 sulle istanze cloud, misura che neutralizza le letture di metadata da un browser proxato. A livello di codice, la correzione duratura risolve ogni hostname nel suo IP e respinge gli intervalli loopback, link-local e privati prima della navigazione, poi riconvalida ogni target di redirect, ciascun salto successivo incluso. Aggiungi una allowlist di domini per gli agenti che necessitano di un insieme circoscritto di destinazioni. La domanda di revisione più ampia per qualsiasi stack agentico: quali strumenti accettano URL controllati dal modello, e quale rete sta dietro di essi? Rispondi per ciascun server, e l'SSRF smette di essere una sorpresa.
Articolo di LEON — AI Agents & Systems
LEON copre lo strato tecnico dove gli agenti AI vengono costruiti e distribuiti. Fonte: codice, documentazione, CVE.