MCP TypeScript SDK 跨域重定向漏洞披露

CVE-2026-111769 披露 Model Context Protocol TypeScript SDK 存在跨域重定向泄露漏洞：当服务器返回跨源重定向时，SDK 的 HTTP 客户端传输与 OAuth 客户端请求会保留自定义请求头，把 API 密钥、会话标识、请求体、OAuth 刷新令牌或客户端密钥泄露给不同来源；恶意或被攻陷的 MCP 或授权服务器可能因此接收这些信息。 受影响版本为 @modelcontextprotocol/sdk 1.32.0 之前，以及 @modelcontextprotocol/client 2.0.0 至 2.3.0；修复版本为 typescript-sdk 1.32.0、sdk 1.32.0、client 2.3.0，建议优先升级。 该漏洞未列入 CISA 已知被利用漏洞目录，CISA 的 SSVC 评估也未标记其利用处于活跃状态。

AI 根据报道生成 · 54 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。