PT-2026-22069
CVE-2026-27896
·
تاريخ النشر
2026-02-26
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
9.4
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Go MCP SDK الأقدم من 1.3.1
الوصف
كان Go MCP SDK يستخدم encoding/json.Unmarshal القياسي في لغة Go لتحليل رسائل بروتوكولي JSON-RPC وMCP. تقوم مكتبة Go القياسية بإجراء مطابقة غير حساسة لحالة الأحرف بين مفاتيح JSON وعلامات حقول الهياكل (structs)، مما يعني أن الحقل المسمى json:”method“ سيتطابق أيضًا مع ’Method‘ و”METHOD“ وما إلى ذلك. كما أنها تحول أحرف Unicode إلى نظائرها في ASCII، مثل ’ſ‘ (U+017F) إلى ’s‘ و'K' (U+212A) إلى ’k‘. ويخالف هذا السلوك مواصفات JSON-RPC 2.0، التي تتطلب أسماء حقول دقيقة. قد يقوم شريك MCP ضار بإرسال رسائل بروتوكول تحتوي على اختلافات في استخدام الأحرف الكبيرة والصغيرة في أسماء الحقول، والتي قد يقبلها SDK دون إخطار، مما قد يؤدي إلى التحايل على عمليات الفحص الوسيطة والتسبب في عدم الاتساق بين عمليات التنفيذ. تؤثر هذه المشكلة على تحليل رسائل بروتوكول JSON-RPC وMCP.
التوصيات
قم بتحديث Go MCP SDK إلى الإصدار 1.3.1 لحل هذه المشكلة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾