PT-2026-118611 · Npm · @Modelcontextprotocol/Sdk

CVE-2026-111767

·

تاريخ النشر

2026-10-20

·

تاريخ التحديث

2026-10-21

CVSS v3.1

8.6

عالية

المتجهAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة @modelcontextprotocol/sdk الإصدارات من 1.24.0 إلى 1.31.0
Description تفتقر ميزة المهام التجريبية (taskStore) إلى التحقق من الجلسة التي أنشأت مهمة معينة. ونتيجة لذلك، يمكن للعملاء الذين يتشاركون InMemoryTaskStore واحدًا عرض وقراءة وإلغاء مهام العملاء الآخرين.
Recommendations تحديث @modelcontextprotocol/sdk إلى الإصدار 1.32.0 أو أحدث. كإجراء مؤقت، قم بإزالة taskStore أو إنشاء InMemoryTaskStore واحد لكل جلسة. التوقف عن استخدام ميزة المهام التجريبية حيث تم استبدالها بتوسعة أعيد تصميمها.

إصلاح

IDOR

Missing Authorization

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-639CWE-862

المعرّفات ذات الصلة

CVE-2026-111767
GHSA-22JM-H49P-29QW

المنتجات المتأثرة

@Modelcontextprotocol/Sdk