SSRF-bypass in OpenAPI-import van FrontMCP en mcp-from-openapi (CVE-2026-59973)

Wat is er gebeurd

De OpenAPI-adapter in FrontMCP (libs/adapters/src/openapi/openapi.adapter.ts) geeft niet-vertrouwde url- en spec-invoer, samen met een instelling loadOptions.refResolution, door aan de functies fromURL() en fromJSON() van de OpenAPIToolGenerator. De bescherming die bedoeld was om externe $ref-verwijzingen naar onveilige bestemmingen te blokkeren, controleert alleen de geparste hostnaam als string. Het daadwerkelijke netwerkadres achter een hostnaam wordt niet opgezocht, het gevalideerde adres wordt niet vastgezet voor later gebruik, redirect-bestemmingen worden niet opnieuw gevalideerd, en IPv4-gemapte IPv6-adresvormen worden niet genormaliseerd. Door deze combinatie kan de hostnaam-controle worden omzeild.

Technische oorzaak

Omdat de validatie gebaseerd is op string-niveau inspectie van de hostnaam in plaats van op opgeloste en vastgezette netwerkadressen, zijn meerdere omzeilingstechnieken mogelijk: het gebruik van DNS-namen die naar loopback-adressen resolven, het gebruik van HTTP-redirects die na de initiële hostnaam-check alsnog naar loopback-adressen verwijzen, en het gebruik van IPv4-gemapte IPv6-representaties van loopback-adressen die niet als gelijkwaardig aan de geblokkeerde vormen worden herkend. Dit wordt geclassificeerd als CWE-918 (Server-Side Request Forgery).

Waarom dit belangrijk is

Een geauthenticeerde gebruiker die in een hosted of multi-user omgeving een OpenAPI-specificatie mag importeren of configureren, kan deze zwakte misbruiken om de FrontMCP-backend namens hem verzoeken te laten sturen naar interne netwerkbestemmingen. Hierdoor kunnen interne beheer-API's, metadata-achtige diensten en andere private netwerkendpoints blootgesteld worden die normaal niet bereikbaar zouden moeten zijn vanaf buiten het vertrouwde backend-netwerk. De CVSS-vector toont een scope-wijziging (S:C) en een hoge impact op vertrouwelijkheid, wat aangeeft dat de request forgery data kan blootleggen van interne diensten buiten de kwetsbare component zelf.

Wie wordt getroffen

Implementaties van frontmcp en @frontmcp/adapters vanaf versie 1.2.1 tot (maar niet inclusief) 1.5.0 zijn getroffen, evenals implementaties van mcp-from-openapi vanaf versie 2.3.0 tot (maar niet inclusief) 2.5.0. De praktische impact is kleiner in omgevingen waar alleen een vertrouwde lokale beheerder OpenAPI-specificaties kan configureren, en in omgevingen waar protocollen voor externe verwijzingen zijn uitgeschakeld, omdat die configuratie het externe $ref-verzoek al bij de bron voorkomt.

Getroffen versies

frontmcp: versies 1.2.1 tot (maar niet inclusief) 1.5.0. @frontmcp/adapters: versies 1.2.1 tot (maar niet inclusief) 1.5.0. mcp-from-openapi: versies 2.3.0 tot (maar niet inclusief) 2.5.0.

Fixes en mitigatie

Dit probleem is verholpen in frontmcp en @frontmcp/adapters versie 1.5.0, en in mcp-from-openapi versie 2.5.0. Voor omgevingen die niet direct kunnen updaten, vermindert het beperken van de bevoegdheid om OpenAPI-specificaties te importeren of configureren tot vertrouwde lokale beheerders het risico, evenals het uitschakelen van protocollen voor externe verwijzingen, waardoor het kwetsbare externe $ref-verzoek helemaal niet wordt uitgevoerd.

Aanbevolen actie

Werk frontmcp en @frontmcp/adapters bij naar versie 1.5.0 of hoger, en werk mcp-from-openapi bij naar versie 2.5.0 of hoger. Beperk tot die updates zijn doorgevoerd de rechten voor het importeren/configureren van OpenAPI-specificaties tot vertrouwde beheerders en overweeg om ondersteuning voor externe verwijzingsprotocollen uit te schakelen in getroffen omgevingen.