CVE-2026-34227

未认证的 MCP 接口 + CORS 绕过 Sliver 的 MCP 服务器会启动一个未认证的 SSE 接口 ，并在每个响应中返回 Access-Control-Allow-Origin: 。 mcp-go 库不校验 Content-Type，因此简单请求 （text/plain）会完全跳过浏览器的预检检查。没有 OPTIONS。没有 CORS 拦截。没有认证。操作员访问的任何页面都可以静默地与他们的 C2 通信。 → GitHub 安全公告 GHSA-6fpf-248c-m7wm 由 @skoveit 发现并报告...