MetaMCP 未修漏洞：容器 RCE 与跨租户会话劫持

Traceforce 披露 MetaMCP v2.4.22 及 ai-dev commit ff4ff2d 存在未修复漏洞，其 inspector proxy 的 STDIO 传输处理器直接接受请求中的进程参数且不做白名单校验，任何有效登录会话即可在应用容器内执行命令。该代理路由经前端转发到公开端口，而默认开启的邮箱密码自助注册可能无需邮箱验证即可获得会话，因此匿名访客也可能触达该处理器。在受控部署中已复现命令执行与密钥泄露，影响包括暴露容器内密钥、未授权访问租户数据或伪造会话；演示的执行上下文为非特权应用容器，未获得宿主机 root 权限。截至 2026 年 9 月 22 日尚无补丁版本，建议在反向代理封禁 /mcp-proxy/ 路径前缀、关闭开放自助注册并轮换暴露环境中的所有密钥。该漏洞与 CVE-2025-49596 属同类，区别在于处理器暴露在公开前端而非仅 localhost。