CVE-2026-116684
Açıklama
Model Context Protocol Python SDK, Model Context Protocol sunucuları ve istemcileri için resmi Python SDK'sıdır. 1.10.0 ile 1.30.0 ve 2.2.0 sürümleri arasında, AuthSettings üzerinden token_verifier ile yapılandırılan sunucu tarafı taşıyıcı kimlik doğrulaması (bearer authentication), yetkilendirme sunucusunun birden fazla kaynağa hizmet verdiği ve TokenVerifier'ın aud hedef kitlesini bağımsız olarak doğrulamadığı durumlarda başka bir servis için düzenlenmiş geçerli bir token'ı kabul etmektedir. Bu kaynak karıştırma hatası, bir token sahibinin yanlış MCP sunucusunda kimlik doğrulamasına izin verir ve söz konusu token'ın sağladığı erişimi kullanmasına olanak tanır. Bu sorun 1.30.0 ve 2.2.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- mcp2.2.0, 1.30.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mcpPyPI | 2.0.0 ≤ v < 2.2.0, 1.10.0 ≤ v < 1.30.0 | 2.2.0, 1.30.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.