CVE-2026-120492: Chainlit 2.12.0, 세미콜론 경로로 MCP allowed_urls를 우회하는 SSRF

Chainlit 2.12.0에서 MCP 기능의 URL 허용 목록 검사를 우회하는 서버 측 요청 위조(SSRF) 취약점이 CVE-2026-120492로 관리되고 있습니다. 아래는 CVE 레코드와 이 이슈를 직접 다루는 VulnCheck 자료에서 확인되는 사실, 그 범위를 넘지 않는 선에서의 해석, 그리고 아직 확인되지 않은 한계를 구분해 정리한 내용입니다.

개요

CVE-2026-120492 레코드에 따르면 Chainlit 2.12.0에는 서버 측 요청 위조(SSRF) 취약점이 있습니다. 레코드는 원인을 URL 검사를 담당하는 validate_mcp_url 함수가 세미콜론(;)을 포함하는 경로 세그먼트를 거부하지 않기 때문으로 기재하고, 그 결과 인증을 요구하지 않는 공격자가 경로 범위(path-scoped)로 지정한 MCP allowed_urls 항목을 우회할 수 있다고 적습니다. CVE를 관리한 VulnCheck의 어드바이저리도 같은 제목과 내용으로 이 이슈를 직접 다룹니다.

제공된 근거만으로 확정할 수 있는 것은 다음입니다.

• 영향 대상으로 이름이 올라간 버전은 Chainlit 2.12.0입니다.
• 취약 유형은 SSRF, 즉 서버가 대신 요청을 보내도록 유도되는 문제입니다.
• 우회 대상은 경로 범위로 묶어둔 MCP allowed_urls 항목입니다.
• 레코드는 공격자가 인증 없이 이 동작을 유도할 수 있다고 기재합니다.
• 검사 단계에서 세미콜론을 포함하는 경로 세그먼트를 거부하지 않는 점이 원인으로 지목됐습니다.

수정 버전 번호, 공개 PoC, 실제 악용 사례, KEV 등재 여부는 이 근거에서 확인되지 않습니다. 따라서 실무 판단은 결국 2.12.0을 운용 중인지, 그리고 경로 범위 허용 목록을 경계로 의존하고 있는지라는 두 질문으로 수렴합니다.

영향 범위

CVE 레코드가 이름으로 지목한 대상은 Chainlit 2.12.0입니다. 그 이전이나 이후 버전에 대해 제공된 근거는 아무것도 말하지 않습니다. 인벤토리에서 2.12.0이 발견되지 않았다는 사실만으로 안전을 결론짓기보다, 대상 버전 목록은 공식 레코드로 다시 확인하는 편이 정확합니다.

근거가 뒷받침하는 영향의 성격은 다음과 같습니다.

• Chainlit 2.12.0
• MCP 기능의 allowed_urls에 경로 단위 스코프 항목을 두고 이를 통제 경계로 삼고 있는 설정
• 레코드의 표현대로라면 인증이라는 사전 조건 없이 악용 경로에 접근 가능한 상황

조심해서 나눠 봐야 할 지점은 근거가 말하지 않는 부분입니다. 이번 자료에는 MCP 기능의 기본 활성 여부나 설정 값에 따른 노출 차이, 특정 트랜스포트나 엔드포인트 경로와 이 취약점의 관계가 확인되지 않습니다. 그래서 설정에서 무엇인가를 끄면 안전하다는 식의 결론, 혹은 특정 조건이 아니면 무관하다는 결론은 이 글에서 내릴 수 없습니다. 점검 순서는 결과적으로 버전 확인과 허용 목록 스코프 확인이 됩니다.

영향의 방향도 과장하지 않는 범위로 정리할 수 있습니다. 레코드는 우회 결과로 SSRF가 성립한다고 적지, 도달 대상을 특정 네트워크 영역으로 한정해 설명하지는 않습니다. 핵심은 허용 목록이 막아두려던 대상을 향하는 요청이 서버에서 실행될 수 있다는 점입니다.

기술적 분석

세미콜론 경로 세그먼트와 허용 목록 우회

CVE 레코드의 문장을 따라가면 인과는 세 단계로 요약됩니다. MCP 관련 URL을 검사하는 validate_mcp_url이 세미콜론을 포함하는 경로 세그먼트를 거부하지 않고, 그 틈에서 경로 범위로 묶어둔 allowed_urls 항목의 경계가 무시되며, 결과적으로 서버가 허용 범위 밖의 대상을 향하는 요청을 수행하게 됩니다. SSRF는 공격자가 서버를 대신해 요청을 보내게 만드는 유형이므로, 여기서 신뢰의 경계는 클라이언트가 아니라 서버 자체가 됩니다.

여기서 한 걸음 더 들어간 설명은 제공된 근거로 확정할 수 없습니다. 문자열 해석과 요청 시 URL 해석이 구체적으로 어떻게 어긋나는지, 어떤 페이로드 형태로 나타나는지, 내부 구현의 어느 지점에서 발생하는지는 CVE 레코드와 VulnCheck 인용 범위에서 확인되지 않습니다. 이 글은 레코드가 명시한 검사 실패 지점까지만 사실로 다루고, 파싱 동작이나 세부 요청 형태는 추정하지 않습니다.

점검 관점에서 읽는 의미

경로 스코프 허용 목록은 특정 호스트의 특정 경로 아래만 허용하겠다는 의도로 넣는 설정입니다. 레코드가 우회를 인정하는 이상, 2.12.0에서는 그 의도와 실제 통과 결과가 어긋날 수 있습니다. 어긋남의 형태가 명시되지 않았다는 점은 오히려 점검 방식에 영향을 줍니다. 설정 값의 모양만 보고 판단할 것이 아니라, 허용 목록을 통과한 결과가 설정 의도와 실제로 일치하는지 대조해 보는 접근이 필요하기 때문입니다.

레코드가 무인증을 전제로 서술한 것도 운영 관점에서 의미가 있습니다. 계정이나 세션 관리로 이 문제를 대신 통제할 수 있다는 기대는 성립하기 어렵다는 뜻으로 읽을 수 있습니다. 이 부분은 레코드의 문장에서 도출한 조건부 해석이며, 도달 경로 자체를 별도로 검증한 결론은 아닙니다.

확인되지 않은 것과 분석의 한계

• 실제 악용 사례, 공개 PoC, KEV 등재 여부는 확인되지 않았습니다. 악용이 확인됐다고 말할 근거도, 없다고 단정할 근거도 이 자료에는 없습니다.
• CVE-2026-120492의 수정 버전 번호와 패치 공지는 제공된 근거에 없습니다.
• 세부 익스플로잇 페이로드와 파싱 로직은 근거 범위 밖입니다.
• 공식 탐지 시그니처나 전용 탐지 규칙은 확인되지 않았습니다.
• MCP 기능의 기본 설정 상태와 배포 조건별 노출 차이도 이 CVE의 근거에서는 확인되지 않습니다.

대응 방안

즉시 확인할 것

• 운영 중인 Chainlit 배포의 버전 인벤토리를 확인합니다. 제공된 근거가 지목한 버전은 2.12.0이며, 다른 버전의 안전 여부는 이 자료로 판단할 수 없습니다.
• MCP allowed_urls에 경로 단위 스코프 항목이 있는지, 그 항목을 내부 주소 통제의 근거로 신뢰하고 있는지 점검합니다. 해당 스코프가 우회 대상이 된다는 점까지는 근거가 뒷받침합니다.
• 레코드가 인증 없는 공격자를 전제로 하므로, 관련 기능의 노출 범위가 의도한 이용자 범위를 벗어나 있지는 않은지 함께 확인합니다.

완화와 운영

• 제공된 증거에는 검증된 임시 완화책이 없습니다. 어떤 설정 값을 바꾸면 차단된다는 안내가 근거에 없으므로, 이 글은 특정 설정 값을 끄는 조치를 확인된 완화책으로 권하지 않습니다.
• 그래서 지금 반드시 지켜야 할 선은 명확합니다. 경로 스코프 허용 목록만으로 원하지 않는 대상을 통제하는 구성을 유효한 경계로 계속 둘 것인지 판단이 필요합니다. 우회할 수 있음이 확인된 통제 수단을 단독 경계로 두는 상태는 근거 관점에서 뒷받침되지 않기 때문입니다.
• 인증 없는 도달 가능성을 줄이는 방향의 접근 제어는 무인증 기재에서 도출할 수 있는 조건적 검토 대상입니다. 다만 이 취약점에 대한 시험 결과로 확인된 조치가 아니라 일반 원칙 수준의 검토임을 분명히 해 둡니다.

패치와 업그레이드

• 제공된 근거에는 CVE-2026-120492의 수정 버전 번호나 패치 공지가 없습니다. 몇 버전으로 올리면 해결된다는 말을 이 글에서는 할 수 없습니다.
• 조치 전에 CVE 레코드와 VulnCheck 자료를 다시 확인해 수정 여부를 검증하고, 테스트 환경에서 MCP 관련 동작을 확인한 뒤 반영합니다.
• 수정판이 확인되기 전까지의 판단은 버전 확인과 허용 목록 점검, 그리고 노출 범위 재확인이라는 세 갈래로 유지하는 것이 현재 근거와 가장 잘 맞습니다.

탐지

• 제공된 증거에는 CVE-2026-120492를 위한 공식 탐지 시그니처나 전용 탐지 규칙이 없습니다. 따라서 이 글은 특정한 로그 패턴이나 트래픽 패턴을 탐지 규칙으로 권고하지 않습니다.
• 지금 근거로 할 수 있는 점검은 버전 인벤토리와 허용 목록 설정 검토까지입니다. 모니터링 규칙이 필요하면 별도 검증 절차를 통해 도입해야 합니다.

참고자료

• CVE-2026-120492 Chainlit 2.12.0 SSRF via Semicolon Path Segment in MCP allowed_urls
• Chainlit 2.12.0 SSRF via Semicolon Path Segment in MCP allowed_urls
• SSRF via MCP SSE and streamable-http transports allows unauthenticated internal network access (GHSA-hvfh-5mj3-5f3j)

함께 읽으면 좋은 글

• CVE-2026-120450: LaraDashboard MCP send-email, 읽기 권한 하나로 열리는 발송 경로
• CVE-2026-89229: vivo BlueLM Copilot ShareActivity 경로 순회로 인한 임의 파일 쓰기
• CVE-2026-120544: Academy LMS 4.0.1 이하, AI Course Builder의 경로 순회 취약점

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.