MCP Inspector 高危漏洞或漏过依赖扫描

dev.to · AI#MCP#安全#依赖审计

Editor brief · 编辑速览

文章称 MCP Inspector 截至 1.0.2 的版本存在两项严重漏洞，连接恶意 MCP 服务器可能导致本机命令执行。相关仓库公告尚未同步至公共漏洞数据库，因此 npm audit 等工具可能无法告警。

文章思维导图

Knowledge map

拖拽缩放

AI deep read

AI 深度解读

MCP Inspector 连上恶意 MCP server 后，可能被对方诱导在本机执行命令，而 npm audit 仍可能显示没有问题。原文提醒：漏洞公告已经发布，不代表依赖扫描工具已经收录。

据作者截至 2026 年 10 月 30 日的核对，Inspector 有九份安全公告尚未进入相关公共数据库，其中两份为 CVSS 9.6 的严重漏洞。对经常用它调试 MCP server 的开发者，眼下更可靠的动作是核对版本、升级，并检查启动参数。

为什么漏洞已经公开，npm audit 还会安静

作者称，维护者在 2026 年 10 月 21 日发布了九份安全公告，但这些公告都没有 CVE ID。到 10 月 30 日，相隔九天，相关公共漏洞数据库仍未收录。

这里有两个不同环节：项目维护者在仓库里发布公告，以及公共数据库收录公告。npm audit 和 Dependabot 读取 GitHub Advisory Database，OSV-Scanner 读取 OSV.dev；仓库公告先发布，扫描工具的输入数据却可能还没更新。

作者给出的检查例子是，查询以下两个 API 都返回 404：

https://api.github.com/advisories/GHSA-4fc4-wcmh-4g86
https://api.osv.dev/v1/vulns/GHSA-4fc4-wcmh-4g86

这里要看的是两个数据库都未返回该公告，不能把 404 理解成漏洞不存在。作者还称，另一份严重公告 GHSA-6x67-4w4w-9f3w，以及涉及 2.x 分支 Windows 问题的 GHSA-q978-78c7-phqw，也有同样情况。

因此，锁定 @modelcontextprotocol/inspector@1.0.2 的项目，仍可能通过审计。

扫描结果干净，只能说明工具当前没有报出来。

哪些版本该升级，哪些参数不能继续用

原文最明确的风险是：直到 1.0.2，恶意 MCP server 都可能让连接它的 Inspector 在本机执行命令。两份相关公告的严重程度均为 CVSS 9.6。

作者给出的修复版本是：

1.x 分支升级到 1.0.3。
2.x 分支的相关问题修复于 2.12.0；截至 2026 年 10 月 30 日，latest 为 2.13.0。

不过，提供的原文在两个分支说明之后都没有列出完整公告清单和受影响区间，因此无法据此逐项核对九份公告，也不能推断 2.x 的所有版本都存在同一种命令执行漏洞。

还有一个单独的疑点：GHSA-wmjf 的说明正文确认 2.5.0 受影响，但公告没有列出对应的 2.x 版本范围或修复版本。作者因此建议，无论使用哪个版本，都不要带着 DANGEROUSLY_OMIT_AUTH 启动 Inspector。这个参数会省略认证，不能把升级当成继续使用它的理由。

对于通过 npx 临时运行 Inspector 的人，作者建议明确指定版本：

npx @modelcontextprotocol/inspector@1.0.3

注意末尾的 @1.0.3，它明确了要运行的版本。另一条路径是 npx @modelcontextprotocol/inspector@latest，但 latest 会移动，原文中的 2.13.0 只是当日记录。

运行期间也要收紧连接对象：只连接可信的 MCP server，用完停止进程。原文指出，1.x 的代理监听 6277，UI 使用 6274。

我的判断

这篇提醒成立的地方，是把「公告发布」和「扫描工具能发现」分开了。对 MCP 调试工具尤其有现实意义：开发者主动连接远端服务，并不代表服务返回的内容就值得信任。

但证据边界也要保留。作者称版本范围依据项目 GitHub 安全公告核对，研究和文字由 AI agents 以其名义完成；提供的文本没有展示攻击复现、完整版本表或修复验证。两份严重漏洞的结论属于作者对公告的转述，不能写成我们已经实测。

相较于完全依赖 npm audit，手工核对项目公告能补上数据库收录延迟；它也有维护成本，适合用来处理这类已经明确曝光的问题，不能替代日常依赖扫描。

原文还推荐了作者关联的工具，并提供单机 $49、最多五台 $199 的付费检查。商业推广不直接否定前面的提醒，但也没有证据表明，处理这次 Inspector 问题需要购买服务。

能拿来做什么

在依赖 Inspector 的项目中执行 npm ls @modelcontextprotocol/inspector，再用 npm ls -g @modelcontextprotocol/inspector 检查全局安装，避免只升级其中一处。
检查团队文档、npm scripts 和日常启动命令里的版本及 DANGEROUSLY_OMIT_AUTH。按所属分支升级，并明确记录实际运行版本。
调试陌生 MCP server 前，先确认来源；调试结束后停止 Inspector，避免代理持续监听。
如果还需要排查本机其他 AI 服务，可以评估原文提到的 local-ai-checkup 0.4.5。作者称它是无依赖、只读的 Python 脚本，会检查 6277 端口及 Ollama、Open WebUI、n8n、vLLM 等服务；对本次 Inspector 问题，原文也明确说免费工具已经足够。