n8n-mcp HTTP 传输层存在未授权会话终止与信息泄露漏洞

### 漏洞概述 n8n-mcp 的多个 HTTP 传输端点存在身份验证缺失问题。此外，其健康检查（health check）端点在未经过身份验证的情况下会泄露敏感的操作元数据。 ### 影响范围 - **受影响软件**: n8n-mcp - **受影响版本**: <= 2.47.5 - **攻击类型**: 未授权访问、拒绝服务 (DoS)、信息泄露 ### 利用条件 攻击者需要能够通过网络访问 n8n-mcp 的 HTTP 服务器端点。 ### 漏洞影响 1. **会话中断**: 攻击者可以终止活跃的 MCP 会话，导致服务可用性受损。 2. **信息泄露**: 攻击者可以获取敏感的运行元数据，为后续攻击提供情报。 ### 修复建议 1. **立即升级**: 升级至 v2.47.6 或更高版本。该版本要求所有 MCP 会话端点必须使用 Bearer 身份验证，并简化了健康检查端点的响应内容。 2. **临时规避措施**: - **限制网络访问**: 使用防火墙规则、反向代理 IP 白名单或 VPN 限制对 HTTP 服务器的访问。 - **切换传输模式**: 使用 `stdio` 模式 (`MCP_MODE=stdio`) 代替 HTTP 模式。stdio 模式不暴露 HTTP 端点，不受此漏洞影响。 ### 参考链接 - https://github.com/advisories/GHSA-75hx-xj24-mqrw