ckan-mcp-server: el recurso DataStore Table UI no valida el origen de postMessage (in) y publica en targetOrigin "*" (out)

Resumen

El recurso de interfaz de usuario de MCP Apps (una tabla interactiva de DataStore renderizada en el webview/iframe del host) se comunica con su elemento principal a través de postMessage. Su listener de entrada message no realiza ninguna validación de event.origin, y sus mensajes salientes se envían con el origen de destino '*'. Cualquier ventana o marco capaz de acceder al documento puede inyectar datos en la tabla e interferir con el handshake de la interfaz de usuario de MCP, y los mensajes JSON-RPC propios de la interfaz se difunden sin restricción de origen.

Código afectado

src/resources/datastore-table-ui.ts (HTML en línea):

window.addEventListener('message', function (event) {
  var msg = event.data;                    // no check of event.origin
  if (!msg || typeof msg !== 'object') return;
  if (msg.id !== undefined && _pending[msg.id]) { ... resolve/reject pending MCP request ... }
  ...
  if (data && (data.fields || data.records)) initTable(data);   // renders attacker-supplied data
});

// outbound:
window.parent.postMessage({ jsonrpc: '2.0', id: id, method: method, params: params || {} }, '*');
mcpNot: window.parent.postMessage({ jsonrpc:'2.0', method:method, params:params||{} }, '*');

No existe una lista de permitidos para orígenes entrantes ni un origen de destino fijo para mensajes salientes.

Impacto

• Suplantación de contenido (Content spoofing). Un marco que pueda enviar mensajes mediante postMessage a la interfaz puede suministrar fields/records arbitrarios, provocando que la tabla renderice filas y enlaces falsificados (por ejemplo, un __link_url de phishing) que aparentan provenir del portal consultado. (Los valores se escapan en HTML, por lo que se trata de suplantación visual y no de inyección de scripts; no hay XSS).
• Interferencia con el handshake/UX. Dado que los mensajes entrantes que coinciden con un id pendiente resuelven o rechazan las solicitudes MCP de la interfaz, un marco atacante puede falsificar respuestas al handshake ui/initialize o interrumpir el panel.
• Fuga de datos salientes. El envío a '*' implica que los mensajes JSON-RPC de la interfaz se entregan a cualquier origen del elemento principal; si el recurso llega a incrustarse en un contexto distinto al host de confianza, esos mensajes se filtran hacia este.

La posibilidad de explotación depende del modelo de incrustación del host (en un host correcto de MCP Apps, el principal es el host de confianza, lo que restringe quién puede enviar mensajes al marco). Por tanto, se trata de una cuestión de endurecimiento o defensa en profundidad y no de una vulnerabilidad directamente activable de forma remota, motivo por el cual es de severidad Baja.

Prueba de concepto

• poc/verify-no-origin-check.mjs: confirmación estática de que el listener no realiza verificación de origen y de que las comunicaciones salientes usan '*':

  [x] validates event.origin             : NO
  [x] outgoing postMessage targetOrigin  : '*' (any)
  RESULT: VULNERABLE

• poc/parent-spoof-poc.html: una página que incrusta la interfaz e inyecta filas falsificadas de forma cruzada entre orígenes sin handshake; la interfaz las renderiza.