oktsec
Revisión gratuita de flujosContactanos
Radar
Recibir alertas

Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.

Todos los avisosVulnerabilidad
Hablar con Oktsec
Model Context Protocol

MCP Inspector

Actualizado 7 nov 2026
Revisar esta semanaAtaques no establecidos

Seguí las novedades de seguridad

Alertas prioritarias y resúmenes de Radar por correo.

Aviso de seguridad

Inspector fixes three advisories covering MCP App isolation, imported configuration and web input validation, and tool output regex processing. Update v2 to 2.14.0; v1 needs 1.0.4 for the regex flaw.

Quiénes deben revisar: Developers and security reviewers using MCP Inspector.

Acción recomendadaCorrección disponible

Update the installed Inspector branch and restart the client.

Revisar sistemas afectadosArmar un plan de respuesta

¿Cuál es la vulnerabilidad y su impacto?

The MCP App flaw lets an untrusted rendered frame navigate away while retaining its host bridge. This scenario concerns the web Apps tab, not CLI/TUI clients or apps using a dedicated origin.

A malicious server.json import can pass unexpected runtime flags while showing a benign package name. That advisory also covers URL schemes and preview content security policy in the web client. A separate regex flaw can freeze the client after the user connects to a malicious server and calls a tool; that flaw does not establish code execution.

The regex advisory was published November 4; the other two on November 5. None lists a CVE. Public reproduction cases are not evidence of active attacks.

Proveedor / autor
Model Context Protocol
Acceso necesario
Depende de la aplicación o configuración
Divulgado
4 nov 2026
Última revisión de evidencia
7 nov 2026 UTC

¿Qué sistemas y versiones están afectados?

ProductoAfectadoVersión corregida / acción
Inspector v22.0.0 through 2.13.0 inclusive.2.14.0
Inspector v1: regex advisory only1.0.3 and earlier.1.0.4

Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.

¿Qué se sabe de la explotación?

Ataques observados

Ataques no establecidos

Fundamento de la prioridad

The advisories include reproduction cases involving untrusted connected servers or imported content. They do not establish exploitation in real attacks.

¿Qué implica para los entornos de IA?

These flaws affect the inspection tool itself when handling untrusted MCP content.

Fuentes de este aviso

Abrir evidencia de respaldo y registro técnico
Historial editorial1 entrada

Added vendor scope, corrections and response guidance.

Acciones de respuesta

Prepará tu respuesta

0 de 2 acciones registradas como completadas

Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.

Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.

1. Evaluá si aplica a tu entorno

Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».

Evaluación de aplicabilidadSin evaluar

2. Registrá la respuesta

Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.

  1. Confirm the installed branch

    Use 2.14.0 for v2 or 1.0.4 for v1. The v1 correction here concerns GHSA-2fw8-7jmw-r937 only.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

  2. Review untrusted inputs

    Check imported server definitions and app trust before reconnecting. Do not rely on an older Inspector's app policy as a verified network boundary.

    Agregar evidencia o notasUsá solo referencias. No guardes credenciales ni datos confidenciales acá.

3. Compartí el plan

Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.

Este plan no se envía a Oktsec. Tu equipo declara los estados y la evidencia.

VERIFICÁ TU ENTORNO

Sistemas afectados y correcciones

Abrir plan de respuesta

Compará la versión en ejecución y la configuración con las indicaciones del proveedor.

ProductoAfectadoVersión corregida / acción
Inspector v22.0.0 through 2.13.0 inclusive.2.14.0
Inspector v1: regex advisory only1.0.3 and earlier.1.0.4

Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.

Acceso necesarioDepende de la aplicación o configuración
EVIDENCIA CON FUENTES

Evidencia y fuentes

Revisado 7 nov 2026 UTC

Por qué tiene esta prioridad

The advisories include reproduction cases involving untrusted connected servers or imported content. They do not establish exploitation in real attacks.

Criterios de prioridad

Fuentes

Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.

  1. Inspector MCP App isolationModel Context Protocol · Aviso del proveedor · Revisado 7 nov 2026 UTC
  2. Inspector import and web validationModel Context Protocol · Aviso del proveedor · Revisado 7 nov 2026 UTC
  3. Inspector tool output regexModel Context Protocol · Aviso del proveedor · Revisado 7 nov 2026 UTC
Registro técnicoProductos, identificadores y detalles de respaldo
Registro del incidente
Producto / servicioMCP InspectorModel Context Protocol
Evidencia de explotación
Ataques no establecidos
Acceso necesarioDepende de la aplicación o configuración
Corrección / respuesta
Corrección disponibleVersiones afectadas y correcciones
Divulgado
4 nov 2026
Registro revisado
7 nov 2026 UTC

Para entornos con agentes de IA

These flaws affect the inspection tool itself when handling untrusted MCP content.