CVE-2026-55604
CVE-2026-55604 · @arikusi/deepseek-mcp-server has an Authorization Bypass Through User-Controlled Key
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
DeepSeek MCP Server is an MCP server for DeepSeek V4. Starting in version 1.4.2 and prior to version 1.7.0, the process-global `SessionStore` accepts caller-supplied `session_id` values without binding them to any authenticated principal or transport session. An attacker can enumerate active session IDs via `deepseek_sessions`, then reuse a victim-controlled `session_id` in `deepseek_chat` to retrieve and continue the victim's conversation context. Version 1.7.0 contains a patch.
CVSS 8.6 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
deepseek-mcp-server
- Softwareversionen
- >= 1.4.2, < 1.7.0: Betroffen
Keine Korrektur veröffentlicht
@arikusi/deepseek-mcp-server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 1.4.2, < 1.7.0
Auf 1.7.0 aktualisieren