安全性: getRepoData 中的关键 SSRF 漏洞
作者: nkar123412-hub创建于 2026年6月12日更新于 2026年6月12日
我发现了 src/shared/repoData.ts 中 getRepoData 函数中的一个关键的服务器端请求伪造 (SSRF) 漏洞。该函数会处理 requestHost 和 requestUrl 以识别仓库。如果提供了以 'http' 开头的 requestUrl，则会直接使用它来创建一个新的 URL 对象： fullUrl = new URL(requestUrl)；
内容来源: idosal/git-mcp