CVE-2026-88257

Nome do Software Vulnerável e Versões Afetadas beam mcp versões 0.1.0 até 0.10.0

Descrição Uma validação de entrada inadequada em BeamMCP.Schema permite que um cliente MCP envie argumentos para a função de despacho de uma ferramenta que violem o esquema de entrada anunciado. A função BeamMCP.Schema.validate/2 valida apenas type, required, additionalProperties, enum e limites numéricos nos argumentos de nível superior. Restrições dentro de objetos aninhados e itens de array—incluindo items, minItems, maxItems, minLength, maxLength, pattern, required aninhado, enum e additionalProperties: false—são ignoradas durante a validação nos endpoints tools/call e prompts/get. Além disso, palavras-chave como oneOf, anyOf e $ref são anunciadas, mas não aplicadas. Isso permite que um host receba valores proibidos, como números fora de intervalo ou chaves não declaradas dentro de objetos aninhados, o que pode levar a comportamentos inesperados dependendo de como o código de despacho do host processa a entrada.

Recomendações Atualize o beam mcp para a versão 0.10.1. Como solução temporária, revalide os argumentos dentro da função de despacho do host em relação a todas as restrições declaradas abaixo do nível superior, ou mova todas as restrições para propriedades de nível superior.