CVE-2026-34227

未認証のMCPインターフェース + CORSバイパス SliverのMCPサーバーは未認証のSSEインターフェース を起動し、すべてのレスポンスにAccess-Control-Allow-Origin: を返します。 mcp-goライブラリはContent-Typeを検証しないため、シンプルリクエスト （text/plain）はブラウザのプリフライトチェックを完全にスキップします。OPTIONSなし。CORSブロックなし。認証なし。オペレーターが訪問した任意のページが、そのC2と静かに通信できます。 → GitHubセキュリティアドバイザリ GHSA-6fpf-248c-m7wm...