PT-2026-6315 · Unknown · Mcp Typescript Sdk

Ahabian + 1 · Publicado 2026-02-04 · Atualizado 2026-04-22 · CVE-2026-25536

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas MCP TypeScript SDK versões 1.10.0 a 1.25.3

Descrição O MCP TypeScript SDK, projetado para servidores e clientes do Model Context Protocol, apresenta um vazamento de dados de resposta entre clientes. Isso ocorre quando uma única instância de McpServer/Server e transporte é reutilizada em múltiplas conexões de cliente, especialmente em implantações stateless do StreamableHTTPServerTransport. O problema foi corrigido na versão 1.26.0.

Recomendações Atualize para a versão 1.26.0 ou posterior.

Exploit

Correção

Race Condition

Enumeração de Fraquezas

CWE-362

CWE-1395

Identificadores relacionados

CVE-2026-25536

GHSA-345P-7CG4-V4C7

GHSA-W2FM-25VW-VH7F

Produtos afetados

Mcp Typescript Sdk

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25536.json · Exploit
• https://github.com/modelcontextprotocol/typescript-sdk/security/advisories/GHSA-345p-7cg4-v4c7 · Aviso do Fabricante
• https://github.com/modelcontextprotocol/typescript-sdk/issues/243 · Aviso do Fabricante
• https://github.com/modelcontextprotocol/typescript-sdk/issues/204 · Aviso do Fabricante
• https://github.com/modelcontextprotocol/typescript-sdk · Nota
• https://github.com/vercel/mcp-handler · Nota
• https://github.com/vercel/mcp-handler/security/advisories/GHSA-w2fm-25vw-vh7f · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-25536 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-25536 · Aviso do Fabricante
• https://twitter.com/InProd_eng/status/2039326919447945352 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-w2fm-25vw-vh7f · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2019182751958917350 · Publicação no Twitter
• https://github.com/advisories/GHSA-345p-7cg4-v4c7 · Nota
• https://osv.dev/vulnerability/GHSA-345p-7cg4-v4c7 · Aviso do Fabricante
• https://twitter.com/sunglasses_dev/status/2046760232123294084 · Publicação no Twitter