CVE-2026-34237

ŚrednieCVSS 6.1

Opublikowano: 31/03/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

MCP Java SDK przed wersjami 0.83.0, 1.0.1 i 1.1.1 zawiera zakodowaną na stałe podatność CORS z użyciem wildcarda. Pozwala to na dostęp do zasobów z dowolnego źródła.

Ocena ryzyka

Atakujący z zewnętrznej domeny może wykonywać żądania między źródłami, co może prowadzić do kradzieży danych lub ataków CSRF.

Rekomendacja

Należy zaktualizować MCP Java SDK do wersji 0.83.0, 1.0.1 lub 1.1.1, które zawierają poprawkę.

Inne podatności w MCP Java SDK

CVE-2026-35568Średnie
Oficjalny Java SDK dla Model Context Protocol (MCP) zawiera podatność na DNS rebinding. Przed wersją 1.0.0 atakujący może uzyskać dostęp do lokalnego lub sieciowo-prywatnego serwera MCP za pomocą przeglądarki ofiary, co pozwala na wykonywanie dowolnych wywołań narzędzi na serwerze.

Oryginalny opis (angielski, źródło NVD)

MCP Java SDK is the official Java SDK for Model Context Protocol servers and clients. Prior to versions 0.83.0, 1.0.1, and 1.1.1, there is a hardcoded wildcard CORS vulnerability. This issue has been patched in versions 0.83.0, 1.0.1, and 1.1.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS