CVE-2026-27896
Təsvir
Go MCP SDK 1.3.1 versiyasından əvvəlki versiyalarda JSON-RPC və MCP protokolu mesajlarının təhlili üçün Go-nun standart encoding/json.Unmarshal funksiyasından istifadə edirdi. Go-nun standart kitabxanası JSON açarlarının struktur sahə teqləri ilə böyük-kiçik hərflərə baxılmadan uyğunlaşdırılmasını həyata keçirir — məsələn, json:"method" teqli olan bir sahə eyni zamanda "Method", "METHOD" və s. ilə də uyğunlaşardı. Bu, dəqiq sahə adlarını müəyyən edən JSON-RPC 2.0 spesifikasiyasını pozurdu. Zərərli MCP tərəfdaşı, SDK-nın səssiz şəkildə qəbul edə biləcəyi qeyri-standart registrda yazılmış sahələrlə protokol mesajları göndərə bilərdi. Bu, vasitəçi yoxlamaların yan keçilməsi və fərqli implementasiyalar arasında uyğunsuzluq potensialına malik idi. Standart Go JSON unmarshaling prosesi 7b8d81c commit-də registrlərə qarşı həssas dekoderlə əvəz edilmişdir. İstifadəçilərə bu problemi həll etmək üçün v1.3.1 versiyasına yeniləməkləri tövsiyə olunur.
Necə düzəltmək olar
- lfprojects mcp_go_sdk1.3.1 və ya daha yeni versiya
- github.com/modelcontextprotocol/go-sdk1.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lfprojects mcp_go_sdk | v < 1.3.1 | 1.3.1 |
| github.com/modelcontextprotocol/go-sdkGo | v < 1.3.1 | 1.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.