CVE-2026-111769

Nome do Software Vulnerável e Versões Afetadas @modelcontextprotocol/sdk versões anteriores a 1.32.0 @modelcontextprotocol/client versões 2.0.0 a 2.2.0

Descrição Transportes de cliente HTTP e solicitações de cliente OAuth seguem redirecionamentos para origens diferentes, mantendo cabeçalhos de solicitação personalizados e o cabeçalho mcp-session-id. Para respostas HTTP 307 ou 308, os corpos das solicitações também são mantidos. Este comportamento afeta StreamableHTTPClientTransport, SSEClientTransport e funções de cliente OAuth, como auth(). Um servidor MCP ou de autorização malicioso ou comprometido poderia explorar isso para receber informações sensíveis, incluindo chaves de API, identificadores de sessão, tokens de atualização OAuth ou segredos de cliente OAuth. Isso ocorre quando uma solicitação é redirecionada para outra origem.

Recomendações Atualize o @modelcontextprotocol/sdk para a versão 1.32.0 ou posterior. Atualize o @modelcontextprotocol/client para a versão 2.3.0 ou posterior. Como solução temporária, utilize uma implementação de fetch que recuse redirecionamentos definindo redirect: 'error'. Rotacione as chaves de API e os valores de client secret e revogue os tokens caso os redirecionamentos possam ter atingido um host não confiável.