CVE-2026-7094 GlutamateMCPServers SSRF漏洞

ShadowCloneLabs GlutamateMCPServers 在特定提交版本前存在服务端请求伪造（SSRF）漏洞。该漏洞源于 puppeteer_navigate 组件的 src/puppeteer/index.ts 文件未能正确处理 url 参数。远程攻击者无需权限即可通过操纵该参数，诱导服务器向任意内网或外部地址发起请求，可能导致敏感信息泄露。

该漏洞位于项目的 puppeteer_navigate 组件中。由于代码在调用 Puppeteer 进行页面导航时，直接使用了用户可控的 `url` 参数而未进行有效过滤，攻击者可构造恶意请求。攻击者利用此漏洞可控制服务器端浏览器实例访问内网资源（如 http://127.0.0.1/admin）、读取本地文件（file:// 协议）或探测端口。受影响产品采用滚动发布，受影响范围截至提交哈希 e2de73280b01e5d943593dd1aa2c01c5b9112f78。目前厂商尚未响应。