CVE-2026-116686
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Model Context Protocol Python SDK to oficjalny zestaw SDK Python dla serwerów i klientów Model Context Protocol. Od wersji 1.10.0 do 1.30.0 i 2.2.0 wywołania narzędzi ClientSession, ClientSessionGroup i Client walidują dokumenty outputSchema deklarowane przez serwer za pomocą domyślnego resolvera jsonschema, powodując, że nierozwiązana wartość $ref pobiera adres URL HTTP, HTTPS lub pliku z kontekstu sieciowego i systemu plików klienta. Serwer może wywołać ślepe żądania lub odczyty lokalnych plików i może zablokować każdą sesję w procesie, ponieważ rozwiązywanie odbywa się synchronicznie w pętli zdarzeń bez limitu czasu. Problem został naprawiony w wersjach 1.30.0 i 2.2.0.
Ocena ryzyka
Podatność może pozwolić złośliwemu serwerowi na wykonanie żądań do wewnętrznych zasobów sieciowych lub odczyt plików lokalnych klienta, a także na zablokowanie usługi poprzez zawieszenie sesji.
Rekomendacja
Należy zaktualizować Model Context Protocol Python SDK do wersji 1.30.0 lub 2.2.0 (lub nowszej). Zaleca się również ograniczenie zaufania do serwerów MCP i monitorowanie nietypowych żądań wychodzących.
Inne podatności w Model Context Protocol Python SDK
Zobacz wszystkie- CVE-2026-116685Średnie
Model Context Protocol Python SDK to oficjalny zestaw SDK Python dla serwerów i klientów Model Context Protocol. Od wersji 1.8.0 do 1.30.0 i 2.2.0 ścieżki klienta streamable_http_client, streamablehttp_client, sse_client, ClientSessionGroup, OAuth i create_mcp_http_client włączają follow_redirects i podążają za przekierowaniami do innej domeny, przekazując niestandardowe nagłówki poświadczeń dostarczone przez wywołującego, a w przypadku odpowiedzi 307 lub 308 także treść żądania. Atakujący, który może wpłynąć na miejsce docelowe przekierowania zaufanego punktu końcowego, może otrzymać te materiały. Problem został naprawiony w wersjach 1.30.0 i 2.2.0.
- CVE-2026-116684Średnie
W Model Context Protocol Python SDK w wersjach od 1.10.0 do 1.30.0 oraz 2.2.0 występuje luka polegająca na tym, że uwierzytelnianie bearer skonfigurowane przez AuthSettings z token_verifier akceptuje ważny token wystawiony dla innej usługi, gdy serwer autoryzacji obsługuje wiele zasobów, a TokenVerifier nie weryfikuje niezależnie odbiorcy (aud). Luka umożliwia posiadaczowi tokena uwierzytelnienie się do niewłaściwego serwera MCP i wykorzystanie uprawnień wynikających z tego tokena. Problem naprawiono w wersjach 1.30.0 i 2.2.0.
- CVE-2026-109527Wysokie
Model Context Protocol Python SDK to oficjalny zestaw SDK dla serwerów i klientów Model Context Protocol. W wersjach mcp przed 1.29.1 oraz od 2.0.0a1 do 2.0.1 menedżer sesji Streamable HTTP, punkt końcowy wiadomości SSE oraz trasy serwera autoryzacji OAuth buforują pełne treści żądań HTTP bez wymuszania maksymalnego rozmiaru. Nieuwierzytelniony zdalny klient mogący dotrzeć do podatnego punktu końcowego może wysłać duże zadeklarowane lub strumieniowane ciało żądania, które zużywa wielokrotność rozmiaru ciała w pamięci procesu i może wielokrotnie wyczerpać pamięć lub zakończyć działanie serwera. Serwery tylko ze Stdio i wdrożenia z skutecznym limitem rozmiaru żądań na poziomie nadrzędnym nie są podatne, a aplikacje używające bezpośrednio StreamableHTTPServerTransport pozostają odpowiedzialne za wymuszenie własnego limitu. Standardowe aplikacje serwera SDK i menedżery sesji są naprawione w wersjach 1.29.1 i 2.1.0.
Oryginalny opis (angielski, źródło NVD)
The Model Context Protocol Python SDK is the official Python SDK for Model Context Protocol servers and clients. From 1.10.0 until 1.30.0 and 2.2.0, ClientSession, ClientSessionGroup, and Client tool calls validate server-declared outputSchema documents with jsonschema's default resolver, causing an unresolved $ref value to fetch an HTTP, HTTPS, or file URL from the client's network and filesystem context. A server can trigger blind requests or local-file reads and can stall every session in the process because resolution runs synchronously on the event loop without a timeout. This issue is fixed in versions 1.30.0 and 2.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS