CVE-2026-55604
CVE-2026-55604 · @arikusi/deepseek-mcp-server has an Authorization Bypass Through User-Controlled Key
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
DeepSeek MCP Server is an MCP server for DeepSeek V4. Starting in version 1.4.2 and prior to version 1.7.0, the process-global `SessionStore` accepts caller-supplied `session_id` values without binding them to any authenticated principal or transport session. An attacker can enumerate active session IDs via `deepseek_sessions`, then reuse a victim-controlled `session_id` in `deepseek_chat` to retrieve and continue the victim's conversation context. Version 1.7.0 contains a patch.
CVSS 8.6 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
deepseek-mcp-server
- Versiones
- >= 1.4.2, < 1.7.0: Afectada
Sin corrección publicada
@arikusi/deepseek-mcp-server npm
- Intervalos de versiones afectados
- SEMVER: ≥ 1.4.2, < 1.7.0
Actualiza a 1.7.0