Fem CVE-er mot LudusMCP: serveren henter enhver URL agenten ber om

Fem CVE-er mot samme MCP-server ble publisert i NVD 6. og 9. august, alle mot LudusMCP 1.0.24. Den siste og alvorligste, CVE-2026-19367, er server side request forgery: verktøyet read_range_config tar imot et source-argument, og starter verdien med http:// eller https://, kaller serveren fetch(source) og gir svarkroppen rått tilbake til klienten.

Feilrapporten i prosjektets issue-spor beskriver mekanismen presist. Forskeren som meldte fra fant verken en liste over tillatte verter, filtrering av private adresser eller validering av hvor omdirigeringer ender.

«En MCP-klient kan få serveren til å gjøre HTTP-forespørsler fra serverens nettverksposisjon og motta svarkroppen» — feilrapport i LudusMCPs issue-spor, 18. juni 2026

Hvor serveren står, avgjør hvor ille det er. LudusMCP styrer Ludus-labmiljøer med naturlig språk, og ifølge prosjektets egen README installeres den på maskinen med MCP-klienten, med WireGuard-VPN eller SSH-tunnel inn til Ludus-serveren. Det er nøyaktig den maskinen du ikke vil at en modell skal kunne sende vilkårlige forespørsler fra.

Alvorlighetsgraden er likevel lavere enn ordet kritisk antyder. NVD gir SSRF-en 6,3 av 10 etter CVSS 3.1 og bare 2,1 etter CVSS 4.0, blant annet fordi angrepet krever tilgang til MCP-klienten. De fire andre er en kommandoinjeksjon i ludus_cli_execute, en kommandoinjeksjon i dialogen som henter legitimasjon fra brukeren, og to katalogtraverseringer. Alle fem har samme merknad i NVD: prosjektet ble varslet tidlig gjennom en feilrapport, men har ikke svart. Repoet har 41 stjerner, og siste commit er fra 19. april.

Poenget er ikke LudusMCP. Mønsteret gjentar seg i enhver MCP-server som tar imot en sti eller en URL fra modellen: et fetch() på en verdi modellen kontrollerer gjør agenten til en fullmakt inn i nettverket serveren står i, inkludert tjenester på localhost og metadata-endepunktet på 169.254.169.254. Argumentet trenger ikke komme fra deg heller. Skjulte instrukser i en nettside agenten leser holder.

Hva bør du gjøre?

1. Gå gjennom MCP-serverne du kjører og finn hvilke verktøy som tar imot URL-er eller filstier fra modellen.
2. Løs opp URL-en og blokker private adresseområder og metadata-endepunkter før forespørselen sendes, i stedet for å sjekke prefikset. Sjekk hvor omdirigeringer ender, ikke bare hvor de starter.
3. Kjør servere som når interne tjenester i et eget nettverkssegment, og fjern LudusMCP 1.0.24 fra maskiner med VPN-tilgang til labben inntil prosjektet svarer.