PT-2026-60301 · Pypi · Mcp Python Sdk

Publicado 2026-07-15 · Atualizado 2026-07-15 · CVE-2026-59950

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.6

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas mcp versões anteriores a 1.28.1

Description O MCP Python SDK, uma implementação em Python do Model Context Protocol, contém um problema no transporte depreciado mcp.server.websocket.websocket server. Este componente aceita handshakes de WebSocket sem validar os cabeçalhos Host ou Origin, o que impede que o SDK restrinja quais origens podem se conectar a aplicações que utilizam esse transporte.

Recommendations Atualize para a versão 1.28.1. Como medida de mitigação temporária, restrinja o uso do transporte mcp.server.websocket.websocket server.

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-1385

CWE-346

Identificadores relacionados

CVE-2026-59950

Produtos afetados

Mcp Python Sdk

Referências · 7

• https://github.com/modelcontextprotocol/python-sdk/pull/2992 · Nota
• https://github.com/modelcontextprotocol/python-sdk/commit/777b8d06710c140e3606b0d4598e2aa48546c266 · Nota
• https://github.com/modelcontextprotocol/python-sdk/security/advisories/GHSA-vj7q-gjh5-988w · Nota
• https://github.com/modelcontextprotocol/python-sdk/releases/tag/v1.28.1 · Nota
• https://twitter.com/infoflowcloud/status/2077503767419777059 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-59950 · Nota de Segurança
• https://twitter.com/CVEnew/status/2077503125481730400 · Publicação no Twitter