PT-2026-120151
CVE-2026-111770
·
تاريخ النشر
2026-10-20
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
@modelcontextprotocol/server الإصدارات من 2.0.0 إلى 2.2.0
Description
قد يقوم خادم MCP الذي يتم الوصول إليه عبر HTTP بتسليم استجابات وإشعارات أحد العملاء إلى عميل آخر. يحدث هذا عندما يتشارك العملاء في ناقل نقل واحد عديم الحالة (stateless transport)، أو مثيل واحد من
McpServer أو Server. تنبع المشكلة من مطابقة الرسائل بالاتصال باستخدام id الخاص بـ JSON-RPC فقط. وبما أن عملاء SDK يبدأون ترقيم الطلبات من 0، فإن هذه المعرفات تتصادم أثناء الاستخدام العادي.Recommendations
التحديث إلى الإصدار 2.3.0 أو أحدث من @modelcontextprotocol/server.
كإجراء ضروري في الكود، يجب تنفيذ أحد الخيارات التالية: تمرير مصنع (factory) إلى
createMcpHandler() يقوم بإنشاء McpServer جديد عند كل استدعاء، أو إنشاء McpServer وناقل نقل جديد داخل معالج الطلب لكل طلب، أو تعيين sessionIdGenerator للحفاظ على McpServer وناقل نقل واحد لكل جلسة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾