CVE-2026-27896
Açıklama
Go MCP SDK, 1.3.1 öncesindeki sürümlerde JSON-RPC ve MCP protokol mesajlarının ayrıştırılması için Go'nun standart encoding/json.Unmarshal fonksiyonunu kullanıyordu. Go'nun standart kütüphanesi, JSON anahtarlarının struct alan etiketleriyle büyük/küçük harf duyarsız eşleşmesini gerçekleştirir; örneğin json:"method" olarak etiketlenmiş bir alan "Method", "METHOD" vb. ile de eşleşebilir. Bu durum, kesin alan adları tanımlayan JSON-RPC 2.0 spesifikasyonunun ihlali anlamına geliyordu. Kötü niyetli bir MCP eşi, SDK'nın sessizce kabul edeceği standart dışı harf düzenine sahip protokol mesajları gönderebilmiş olabilir. Bu durum, ara denetimlerin atlatılmasına ve farklı uygulamalar arasında tutarsızlıklara yol açma potansiyeline sahipti. Go'nun standart JSON unmarshaling işlemi, 7b8d81c commit'i ile büyük/küçük harfe duyarlı bir dekoderle değiştirildi. Kullanıcıların bu sorunu gidermek için v1.3.1 sürümüne güncellemeleri önerilir.
Nasıl düzeltilir
- lfprojects mcp_go_sdk1.3.1 ya da sonraki bir sürüm
- github.com/modelcontextprotocol/go-sdk1.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mcp_go_sdk | v < 1.3.1 | 1.3.1 |
| github.com/modelcontextprotocol/go-sdkGo | v < 1.3.1 | 1.3.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.