Дратути Антон | Telegram Webview: blog_toxa/421 -

Telegram Group & Telegram Channel

Дратути Антон

Forwarded from Матвей Кукуй, бложик (Matvey)

This media is not supported in your browser

VIEW IN TELEGRAM

Копаюсь в MCP, и некоторые находки — это просто невероятно.

Например:

1) Cursor представили «MCP Deeplinks» — функцию, позволяющую делиться конфигурациями MCP с помощью ссылки.
2) Когда пользователь нажимает на такую ссылку, Cursor предлагает ему «Установить MCP».
3) И что же делает кнопка «Установить MCP»? По сути, она просто выполняет любой shell-скрипт, встроенный в ссылку в формате Base64.

Я набросал скрипт, который забирает мой публичный SSH-ключ и отправляет его на мой сервер. Я запаковал его в диплинк, нажал «Установить», и, конечно же, мой ключ тут же оказался на сервере. По сути, "хакнул" себя за 2 клика.

Другими словами, это печально известный метод установки в стиле curl | sh, но поданный под видом дружелюбной функции. И все это в экосистеме с тысячами непроверенных поставщиков MCP и пользователей новичков-вайбкодеров.

(На гифке я включаю "MCP" в курсоре и получаю свой ключ на сервере)

www.group-telegram.com/us/blog_toxa.com/421

1.5K viewsJun 15 at 14:22

group-telegram.com/blog_toxa/421

Create: 2025-06-15
Last Update: 2025-06-21 04:30:49

Копаюсь в MCP, и некоторые находки — это просто невероятно.

Например:

1) Cursor представили «MCP Deeplinks» — функцию, позволяющую делиться конфигурациями MCP с помощью ссылки.
2) Когда пользователь нажимает на такую ссылку, Cursor предлагает ему «Установить MCP».
3) И что же делает кнопка «Установить MCP»? По сути, она просто выполняет любой shell-скрипт, встроенный в ссылку в формате Base64.

Я набросал скрипт, который забирает мой публичный SSH-ключ и отправляет его на мой сервер. Я запаковал его в диплинк, нажал «Установить», и, конечно же, мой ключ тут же оказался на сервере. По сути, "хакнул" себя за 2 клика.

Другими словами, это печально известный метод установки в стиле curl | sh, но поданный под видом дружелюбной функции. И все это в экосистеме с тысячами непроверенных поставщиков MCP и пользователей новичков-вайбкодеров.

(На гифке я включаю "MCP" в курсоре и получаю свой ключ на сервере)

BY Дратути Антон

Share with your friend now:
group-telegram.com/blog_toxa/421

Open in Telegram

Telegram | DID YOU KNOW?

Date: 2025-06-21|

"Markets were cheering this economic recovery and return to strong economic growth, but the cheers will turn to tears if the inflation outbreak pushes businesses and consumers to the brink of recession," he added. "Someone posing as a Ukrainian citizen just joins the chat and starts spreading misinformation, or gathers data, like the location of shelters," Tsekhanovska said, noting how false messages have urged Ukrainians to turn off their phones at a specific time of night, citing cybersafety. Artem Kliuchnikov and his family fled Ukraine just days before the Russian invasion. "There are a lot of things that Telegram could have been doing this whole time. And they know exactly what they are and they've chosen not to do them. That's why I don't trust them," she said. I want a secure messaging app, should I use Telegram?
from us

Telegram Дратути Антон
FROM American