PT-2026-127213
CVE-2026-116684
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Model Context Protocol Python SDK الإصدارات 1.10.0 through 1.29.1
Model Context Protocol Python SDK الإصدارات 2.0.0 through 2.1.1
Description
تفشل مصادقة حامل token في جانب الخادم التي تم تكوينها من خلال
AuthSettings باستخدام token verifier في التحقق بشكل مستقل من جمهور aud. في البيئات التي يصدر فيها خادم تفويض واحد رموزًا لموارد متعددة، تسمح ثغرة خلط الموارد هذه لحامل الرمز بالمصادقة إلى خادم MCP خاطئ وممارسة الوصول الناتج عن ذلك الرمز.Recommendations
بالنسبة للإصدارات 1.10.0 through 1.29.1، قم بالتحديث إلى الإصدار 1.30.0 أو أحدث، وقم بتعيين
validate token resource=True في AuthSettings مع تكوين resource server url للجمهور الصحيح، وإرجاع جمهور الرمز من verify token() كـ AccessToken.resource.
بالنسبة للإصدارات 2.0.0 through 2.1.1، قم بالتحديث إلى الإصدار 2.2.0 أو أحدث، وقم بتعيين validate token resource=True في AuthSettings مع تكوين resource server url للجمهور الصحيح، وإرجاع جمهور الرمز من verify token() كـ AccessToken.resource.
كإجراء مؤقت لجميع الإصدارات المتأثرة، ارفض أي رمز لا يتضمن aud الخاص به الخادم داخل دالة verify token(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾