AICSO.AI汇总·· 3 天前精选推荐指数73
FastMCP 披露 GHSA-gpgx-58w2-xwwf Critical 漏洞：outputSchema 名称致客户端代码执行
FastMCP 客户端为何把工具结果的 schema 名称当成了代码
AI 导读
FastMCP 官方安全公告 GHSA-gpgx-58w2-xwwf 披露一处 Critical 级漏洞：服务端 outputSchema 中未经净化的名称会进入客户端的 Python 类型求值，在接收数据的客户端进程执行代码。
推荐理由
原文点明漏洞成因是 schema 名称未经净化进入 Python 类型求值，读者可据此理解 MCP 客户端信任服务端数据的风险模式。
来源：AICSO.AI汇总 · mp.weixin.qq.com