AICSO.AI汇总·· 3 天前精选推荐指数73
MCP Python SDK 跨源重定向泄露凭证漏洞（GHSA-5h93-6whr-6q8j）
Model Context Protocol Python SDK 的 HTTP 客户端传输曾跟随跨源重定向并携带自定义头和请求体
AI 导读
MCP Python SDK 的 Streamable HTTP 与 SSE 客户端传输在受影响版本中会跟随指向任意主机的 HTTP 重定向，并携带客户端自定义头（如 X-API-Key），在 307/308 重定向时还会重发请求体；OAuth 客户端的发现、注册与令牌请求同样存在此问题。
推荐理由
公告给出了受影响版本、升级路径与临时缓解方案，读者可据此判断自身 MCP 客户端部署是否需要轮换凭证。
来源：AICSO.AI汇总 · github.com