PT-2026-118611 · Npm · @Modelcontextprotocol/Sdk

CVE-2026-111767

·

Publicado

2026-10-20

·

Atualizado

2026-10-21

CVSS v3.1

8.6

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L
Nome do Software Vulnerável e Versões Afetadas @modelcontextprotocol/sdk versões 1.24.0 até 1.31.0
Description O recurso experimental de tarefas (taskStore) não verifica qual sessão criou uma tarefa específica. Consequentemente, clientes que compartilham um único InMemoryTaskStore podem listar, ler e cancelar tarefas de outros clientes.
Recommendations Atualize o @modelcontextprotocol/sdk para a versão 1.32.0 ou posterior. Como solução temporária, remova o taskStore ou crie um InMemoryTaskStore por sessão. Pare de usar o recurso experimental de tarefas, pois ele foi substituído por uma extensão redesenhada.

Correção

IDOR

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639CWE-862

Identificadores relacionados

CVE-2026-111767
GHSA-22JM-H49P-29QW

Produtos afetados

@Modelcontextprotocol/Sdk