PT-2026-127219
CVE-2026-116686
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Model Context Protocol Python SDK الإصدارات من 1.10.0 إلى 1.29.1
Model Context Protocol Python SDK الإصدارات من 2.0.0 إلى 2.1.1
الوصف
عندما يعلن خادم متصل عن
outputSchema لأداة ما، يقوم عميل SDK بالتحقق من نتائج call tool باستخدام محلل افتراضي يجلب قيم $ref غير المحللة عبر روابط HTTP أو HTTPS أو روابط ملفات من سياق الشبكة ونظام ملفات العميل. يسمح هذا للخادم بإرسال طلبات عمياء أو قراءة ملفات محلية. بالإضافة إلى ذلك، نظرًا لأن عملية التحليل تعمل بشكل متزامن على حلقة الأحداث بدون مهلة زمنية، يمكن للخادم تجميد كل جلسة في العملية من خلال الحفاظ على اتصال مفتوح دون إرسال بيانات.التوصيات
تحديث Model Context Protocol Python SDK إلى الإصدار 1.30.0 أو أحدث لفرع 1.x.
تحديث Model Context Protocol Python SDK إلى الإصدار 2.2.0 أو أحدث لفرع 2.x.
كإجراء تخفيف مؤقت، قم باستدعاء الأدوات فقط من الخوادم الموثوقة أو تجنب استخدام الأدوات التي يحتوي
outputSchema الخاص بها على $id أو $ref / $dynamicRef لا يبدأ بـ #. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾