chrome-devtools-mcp 的 service worker 请求可绕过全局 URL 允许与阻止列表

chrome-devtools-mcp 发布安全公告，指出 1.2.0 至 1.4.0 版本中 service worker 发起的 fetch 不受 --allowedUrlPattern 与 --blockedUrlPattern 约束，修复版本为 1.4.0。PoC 显示，普通页面导航、页面 fetch、图片与脚本子资源指向被封禁来源时均被拦截，但由允许页面注册的 service worker 发出的请求仍会到达该来源，允许列表与阻止列表两种模式下都如此。公告称这绕过了配置的网络边界，可从浏览器上下文向 localhost、私有网络主机或内部元数据端点等受限来源发起盲请求伪造，并建议将网络策略同样应用到 service worker 目标，同时补充针对 service worker 请求的回归测试。