p PatchFirst

CVE-2026-116685

CVE-2026-116685 · Model Context Protocol Python SDK: HTTP client transports followed cross-origin redirects carrying custom headers and bodies

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The Model Context Protocol Python SDK is the official Python SDK for Model Context Protocol servers and clients. From 1.8.0 until 1.30.0 and 2.2.0, streamable_http_client, streamablehttp_client, sse_client, ClientSessionGroup, OAuth, and create_mcp_http_client client paths enable follow_redirects and follow redirects to a different origin, forwarding caller-supplied custom credential headers and, for 307 or 308 responses, the request body. An attacker who can influence a trusted endpoint's redirect destination can receive that material. This issue is fixed in versions 1.30.0 and 2.2.0.

CVSS 5.9 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • python-sdk

    Versions du logiciel
    • >= 1.8.0, < 1.30.0: Concernée
    • >= 2.0.0, < 2.2.0: Concernée

    Aucun correctif publié

  • mcp PyPI

    Versions du logiciel
    • 2.0.0
    • 2.0.1
    • 2.1.0
    • 2.1.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.0.0, < 2.2.0

    Mettez à jour vers 2.2.0

  • mcp PyPI

    Versions du logiciel
    • 1.10.0
    • 1.10.1
    • 1.11.0
    • 1.12.0
    • 1.12.1
    • 1.12.2
    • 1.12.3
    • 1.12.4
    • 1.13.0
    • 1.13.1
    • 1.14.0
    • 1.14.1
    • 1.15.0
    • 1.16.0
    • 1.17.0
    • 1.18.0
    • 1.19.0
    • 1.20.0
    • 1.21.0
    • 1.21.1
    • 1.21.2
    • 1.22.0
    • 1.23.0
    • 1.23.1
    • 1.23.2
    • 1.23.3
    • 1.24.0
    • 1.25.0
    • 1.26.0
    • 1.27.0
    • 1.27.1
    • 1.27.2
    • 1.28.0
    • 1.28.1
    • 1.29.0
    • 1.29.1
    • 1.8.0
    • 1.8.1
    • 1.9.0
    • 1.9.1
    • 1.9.2
    • 1.9.3
    • 1.9.4
    Plages de versions concernées
    • ECOSYSTEM: ≥ 1.8.0, < 1.30.0

    Mettez à jour vers 1.30.0

Sources originales

Vérifiez votre serveur →