CVE-2026-116685

Model Context Protocol Python SDK to oficjalny zestaw SDK Python dla serwerów i klientów Model Context Protocol. Od wersji 1.10.0 do 1.30.0 i 2.2.0 wywołania narzędzi ClientSession, ClientSessionGroup i Client walidują dokumenty outputSchema deklarowane przez serwer za pomocą domyślnego resolvera jsonschema, powodując, że nierozwiązana wartość $ref pobiera adres URL HTTP, HTTPS lub pliku z kontekstu sieciowego i systemu plików klienta. Serwer może wywołać ślepe żądania lub odczyty lokalnych plików i może zablokować każdą sesję w procesie, ponieważ rozwiązywanie odbywa się synchronicznie w pętli zdarzeń bez limitu czasu. Problem został naprawiony w wersjach 1.30.0 i 2.2.0.

W Model Context Protocol Python SDK w wersjach od 1.10.0 do 1.30.0 oraz 2.2.0 występuje luka polegająca na tym, że uwierzytelnianie bearer skonfigurowane przez AuthSettings z token_verifier akceptuje ważny token wystawiony dla innej usługi, gdy serwer autoryzacji obsługuje wiele zasobów, a TokenVerifier nie weryfikuje niezależnie odbiorcy (aud). Luka umożliwia posiadaczowi tokena uwierzytelnienie się do niewłaściwego serwera MCP i wykorzystanie uprawnień wynikających z tego tokena. Problem naprawiono w wersjach 1.30.0 i 2.2.0.

Model Context Protocol Python SDK to oficjalny zestaw SDK dla serwerów i klientów Model Context Protocol. W wersjach mcp przed 1.29.1 oraz od 2.0.0a1 do 2.0.1 menedżer sesji Streamable HTTP, punkt końcowy wiadomości SSE oraz trasy serwera autoryzacji OAuth buforują pełne treści żądań HTTP bez wymuszania maksymalnego rozmiaru. Nieuwierzytelniony zdalny klient mogący dotrzeć do podatnego punktu końcowego może wysłać duże zadeklarowane lub strumieniowane ciało żądania, które zużywa wielokrotność rozmiaru ciała w pamięci procesu i może wielokrotnie wyczerpać pamięć lub zakończyć działanie serwera. Serwery tylko ze Stdio i wdrożenia z skutecznym limitem rozmiaru żądań na poziomie nadrzędnym nie są podatne, a aplikacje używające bezpośrednio StreamableHTTPServerTransport pozostają odpowiedzialne za wymuszenie własnego limitu. Standardowe aplikacje serwera SDK i menedżery sesji są naprawione w wersjach 1.29.1 i 2.1.0.