MCP Python SDK $ref URL 任意读取漏洞已修复

CVE-2026-116686 披露 Model Context Protocol Python SDK（mcp）客户端在校验工具输出 schema 时，会按服务端声明的 $ref 值发起请求，恶意服务器可借此让客户端抓取任意网页或本地文件地址，泄露客户端网络信息或读取本地文件，并使同进程内其他会话停滞。该问题已在 1.30.0 和 2.2.0 版本修复。 受影响版本为 1.10.0 至 1.30.0 与 2.0.0 至 2.2.0，涉及 ClientSession、ClientSessionGroup 及客户端工具调用——它们使用 jsonschema 默认解析器校验服务端声明的 outputSchema，未解析的 $ref 会从客户端的网络和文件系统上下文抓取 HTTP、HTTPS 或 file URL。

AI 根据报道生成 · 2 天前更新

还没有足够的连续观测数据，暂不绘制趋势。