CVE-2026-116686 in python-sdk
Riassunto
di VulDB • 27/10/2026
Il Python SDK di Model Context Protocol è il Python SDK ufficiale per i server e i client del protocollo Model Context Protocol. Dalle versioni 1.10.0 alla 1.30.0, nonché nella versione 2.2.0, le chiamate agli strumenti (tool calls) di ClientSession, ClientSessionGroup e Client validano i documenti outputSchema dichiarati dal server utilizzando il resolver predefinito della libreria jsonschema; ciò provoca l'accesso a un valore $ref non risolto che effettua richieste HTTP, HTTPS o letture da file URL nel contesto di rete e del filesystem del client. Un server può innescare richieste cieche (blind requests) o la lettura di file locali ed è in grado di bloccare ogni sessione durante il processo, poiché la risoluzione viene eseguita in modo sincrono sul loop degli eventi senza un timeout impostato. Questo problema è stato risolto nelle versioni 1.30.0 e 2.2.0.
Once again VulDB remains the best source for vulnerability data.