CVE-2026-33946
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
MCP Ruby SDK to oficjalny zestaw SDK Ruby dla serwerów i klientów Model Context Protocol. W wersjach przed 0.9.2 implementacja streamable_http_transport.rb zawiera podatność na przejęcie sesji — atakujący, który uzyska ważny identyfikator sesji, może całkowicie przejąć strumień Server-Sent Events (SSE) ofiary i przechwycić wszystkie dane w czasie rzeczywistym. Wersja 0.9.2 zawiera poprawkę.
Ocena ryzyka
Przejęcie sesji pozwala atakującemu na podsłuchiwanie i przechwytywanie danych przesyłanych strumieniem SSE ofiary, co może prowadzić do wycieku poufnych informacji. Ryzyko dotyczy aplikacji korzystających z podatnych wersji SDK.
Rekomendacja
Zaktualizuj MCP Ruby SDK do wersji 0.9.2 lub nowszej. Przejrzyj mechanizmy zarządzania identyfikatorami sesji i rozważ ich rotację oraz dodatkowe uwierzytelnianie.
Inne podatności w MCP Ruby SDK
Zobacz wszystkie- CVE-2026-67432Wysokie
MCP Ruby SDK przed wersją 0.23.0 w komponencie StreamableHTTPTransport odczytuje całe ciało żądania JSON-RPC POST bez ograniczenia rozmiaru, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie pamięci procesu.
- CVE-2026-67431Wysokie
MCP Ruby SDK przed wersją 0.23.0 nie wiąże identyfikatora sesji z jej właścicielem, co pozwala atakującemu z przechwyconym ID sesji na wysyłanie żądań tools/call w kontekście ofiary.
- CVE-2026-67430Średnie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia wyczerpanie pamięci procesu poprzez nieograniczone tworzenie sesji ServerSession w transporcie StreamableHTTPTransport. Sesje nie wygasają domyślnie, a powtarzane żądania initialize powodują narastanie obiektów.
- CVE-2026-63119Średnie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia wyczerpanie pamięci procesu poprzez wysyłanie danych bez znaku nowej linii w transporcie StdioTransport i kliencie Stdio. Funkcja IO#gets jest używana bez ograniczenia liczby bajtów.
- CVE-2026-63118Średnie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia atak DNS rebinding poprzez brak walidacji nagłówków Host i Origin w transporcie StreamableHTTPTransport. Złośliwa strona internetowa może uzyskać dostęp do lokalnego serwera MCP i wywołać narzędzia.
Oryginalny opis (angielski, źródło NVD)
MCP Ruby SDK is the official Ruby SDK for Model Context Protocol servers and clients. Prior to version 0.9.2, the Ruby SDK's streamable_http_transport.rb implementation contains a session hijacking vulnerability. An attacker who obtains a valid session ID can completely hijack the victim's Server-Sent Events (SSE) stream and intercept all real-time data. Version 0.9.2 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS