事件历史事件
Payload MCP 插件 API 密钥访问控制缺陷
先了解这件事
AI 综述
Payload 发布安全公告，指出在特定条件下，已认证用户可管理不属于其账户的 MCP API 密钥，攻击者可借此提升权限并实现账户接管。该问题仅影响使用 @payloadcms/plugin-mcp 的应用。官方已在 3.88.0 及更高版本中修复，建议升级；升级前可禁用 MCP 插件，或将 MCP API 密钥管理权限限制给可信用户。
AI 根据报道生成 · 4 天前更新
后续时间线
10月7日
- GitHub 安全公告Payload 修复 MCP API 密钥访问控制缺陷，可致账户接管
Payload 发布安全公告，指出在特定条件下已认证用户可管理不属于其账户的 MCP API 密钥，攻击者可借此提升权限并实现账户接管。该问题仅影响使用 @payloadcms/plugin-mcp 的应用。官方已在 3.88.0 及更高版本中修复，建议升级；在升级前可禁用 MCP 插件，或将 MCP API 密钥管理权限限制给可信用户。
相关讨论
关注度走势
每天新增来源
- 10月7日新增1个来源（1家媒体、0个账号）
- 10月8日新增0个来源（0家媒体、0个账号）
- 10月9日新增0个来源（0家媒体、0个账号）
- 10月10日新增0个来源（0家媒体、0个账号）
- 10月11日新增0个来源（0家媒体、0个账号）
- 10月12日新增0个来源（0家媒体、0个账号）
- 10月13日新增0个来源（0家媒体、0个账号）
- 10月14日新增0个来源（0家媒体、0个账号）