CVE-2026-59951
Açıklama
PyPI üzerinde mcp olarak adlandırılan MCP Python SDK, Model Context Protocol'ün (MCP) bir Python uygulamasıdır. 1.8.0 ile 1.30.0 ve 2.2.0 sürümleri arasında; FastMCP, MCPServer, Server.streamable_http_app() ve StreamableHTTPSessionManager dahil olmak üzere durum bilgisi tutan (stateful) Streamable HTTP sunucuları, boşta kalma süresi sona erme veya toplam oturum sayısı sınırı olmaksızın oturum girişlerini tutmaya devam eder. DELETE istekleri, reddedilen açılış istekleri ve tamamlanan oturumlar girişlerini güvenilir bir şekilde silmez ve her giriş ayrıştırılmış başlatma parametrelerini tutabilir. Bu nedenle, uç noktaya erişebilen bir istemci, yeniden başlatılana kadar sunucu belleğini sınırsız şekilde artıran sıradan kısa istekler oluşturabilir. Durumsuz (stateless) HTTP, stdio ve SSE taşıma katmanları etkilenmemiştir. Bu sorun 1.30.0 ve 2.2.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- mcp1.30.0, 2.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mcpPyPI | 1.8.0 ≤ v < 1.30.0, 2.0.0 ≤ v < 2.2.0 | 1.30.0, 2.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.