Podatności MCP Python SDK

Zestaw SDK MCP Python (pakiet mcp na PyPI) w wersjach od 1.8.0 do 1.30.0 i 2.2.0 nie usuwa niezawodnie wpisów sesji w serwerach Streamable HTTP z zachowaniem stanu, w tym FastMCP, MCPServer, Server.streamable_http_app() i StreamableHTTPSessionManager. Klient mogący połączyć się z punktem końcowym może wysyłać zwykłe krótkie żądania, które w nieskończoność zwiększają zużycie pamięci serwera aż do restartu. Transporty bezstanowy HTTP, stdio i SSE nie są podatne.

Podatność w MCP Python SDK (mcp) przed wersją 1.28.1 dotyczy przestarzałego transportu WebSocket, który nie walidował nagłówków Host ani Origin. Umożliwiało to dowolnym stronom trzecim nawiązywanie połączeń WebSocket z aplikacjami korzystającymi z tego transportu.

Podatność w MCP Python SDK (mcp) w wersjach od 1.23.0 do 1.27.2 pozwala dowolnemu klientowi na dostęp do zadań innych klientów. Domyślne procedury obsługi dla operacji na zadaniach nie weryfikują sesji, co umożliwia wyliczanie, odczytywanie wyników, konsumowanie wiadomości lub anulowanie zadań innych klientów.

Podatność w MCP Python SDK (mcp) przed wersją 1.27.2 pozwala atakującemu na wstrzyknięcie wiadomości JSON-RPC do istniejącej sesji. Problem dotyczy transportów SSE i Streamable HTTP, które nie weryfikują tożsamości uwierzytelnionego klienta przy użyciu parametru session_id lub nagłówka Mcp-Session-Id.