CVE-2026-25536

WysokieCVSS 7.1

Opublikowano: 04/02/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Podatność w MCP TypeScript SDK umożliwia wyciek danych odpowiedzi między klientami, gdy pojedyncza instancja serwera i transportu jest współdzielona przez wiele połączeń klienckich. Problem występuje w wersjach od 1.10.0 do 1.25.3, szczególnie w bezstanowych wdrożeniach StreamableHTTPServerTransport.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do danych odpowiedzi przeznaczonych dla innych klientów, co może prowadzić do wycieku poufnych informacji i naruszenia integralności komunikacji.

Rekomendacja

Należy niezwłocznie zaktualizować MCP TypeScript SDK do wersji 1.26.0 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w MCP TypeScript SDK

CVE-2026-0621Wysokie
Podatność ReDoS w bibliotece MCP TypeScript SDK od Anthropic (wersje do 1.25.1 włącznie) występuje w klasie UriTemplate podczas przetwarzania wzorców tablicowych RFC 6570. Dynamicznie generowane wyrażenie regularne zawiera zagnieżdżone kwantyfikatory, które mogą prowadzić do katastroficznego cofania się na specjalnie spreparowanych danych wejściowych, powodując nadmierne zużycie CPU.

Oryginalny opis (angielski, źródło NVD)

MCP TypeScript SDK is the official TypeScript SDK for Model Context Protocol servers and clients. From version 1.10.0 to 1.25.3, cross-client response data leak when a single McpServer/Server and transport instance is reused across multiple client connections, most commonly in stateless StreamableHTTPServerTransport deployments. This issue has been patched in version 1.26.0.