MCP TypeScript SDK 服务端令牌受众校验漏洞披露

CVE-2026-111771 披露 Model Context Protocol TypeScript SDK 服务端 HTTP bearer 认证未强制校验令牌受众（aud），可能接受为其他服务签发的有效 access token，CVSS 评分 6.8（Medium）。 已在 verifyAccessToken() 内自行校验 aud 的应用不受影响。修复方面，仅升级 SDK 不会启用新增的受众校验；若只开启预期受众检查，会导致所有请求返回 HTTP 401。该漏洞未列入 CISA 已知被利用漏洞目录，CISA 的 SSVC 评估也未标记其利用处于活跃状态。

AI 根据报道生成 · 52 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。