PT-2025-44217 · Fastmcp · Fastmcp

CVE-2025-62800 · Publicado 2025-10-28 · Atualizado 2026-07-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do FastMCP anteriores à 2.13.0

Descrição O FastMCP, um framework para construção de aplicações MCP, é afetado por uma vulnerabilidade de cross-site scripting refletido. O problema reside na página de callback do cliente OAuth (oauth callback.py) devido à inserção de valores controlados pelo usuário não escapados no HTML gerado. Isso permite a execução de código JavaScript arbitrário dentro da origem do servidor de callback.

Recomendações Atualize para a versão 2.13.0 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-62800

GHSA-MXXR-JV3V-6PGC

PYSEC-2026-1364

Produtos afetados

Fastmcp

Referências · 18

• 🔥 https://github.com/jlowin/fastmcp/security/advisories/GHSA-mxxr-jv3v-6pgc · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62800.json · Exploit
• https://github.com/jlowin/fastmcp/commit/2a20f54617a37213ed83894a8c2f0ac38a2e83a3 · Nota
• https://github.com/jlowin/fastmcp · Nota
• https://github.com/jlowin/fastmcp/pull/2090 · Nota
• https://github.com/advisories/GHSA-mxxr-jv3v-6pgc · Nota
• https://osv.dev/vulnerability/PYSEC-2026-1364 · Aviso do Fabricante
• https://t.me/cveNotify/140762 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-62800 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1983364040857473429 · Publicação no Twitter
• https://t.me/cveNotify/140850 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-62800 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1983290303554695526 · Publicação no Twitter
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2025-62800 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mxxr-jv3v-6pgc · Aviso do Fabricante