CVE-2026-52869
Açıklama
PyPI üzerinde mcp olarak adlandırılan MCP Python SDK, Model Context Protocol'ün (MCP) bir Python uygulamasıdır. 1.27.2 sürümünden önce, SSE ve durumlu Streamable HTTP taşıyıcıları olan mcp.server.sse.SseServerTransport ve mcp.server.streamable_http_manager.StreamableHTTPSessionManager; oturumu oluşturan kimliği doğrulanmış asili doğrulamadan, istekleri yalnızca session_id sorgu parametresi veya Mcp-Session-Id başlığını kullanarak mevcut oturumlara yönlendirir. Bu durum, bilinen bir oturum kimliğine sahip farklı bir bearer-token ile kimliği doğrulanmış istemcinin söz konusu oturuma JSON-RPC mesajları enjekte etmesine olanak tanır. Bu sorun 1.27.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- lfprojects mcp_python_sdk1.27.2 ya da sonraki bir sürüm
- mcp1.27.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mcp_python_sdk | v < 1.27.2 | 1.27.2 |
| mcpPyPI | v < 1.27.2 | 1.27.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.