MCP TypeScript SDK: Eksperymentalne zadania nie były powiązane z sesją, która je utworzyła
Podsumowanie
W wersjach dotkniętych podatnością eksperymentalna funkcja zadań (taskStore) nie weryfikowała, która sesja utworzyła dane zadanie. Klienci współdzielący jeden InMemoryTaskStore mogli listować, odczytywać i anulować nawzajem swoje zadania.
Zadania eksperymentalne są przestarzałe (deprecated). Specyfikacja 2026-07-28 zastąpiła je przeprojektowanym rozszerzeniem. Najlepszym rozwiązaniem jest zaprzestanie ich używania.
Czy problem mnie dotyczy?
Tylko wtedy, gdy Twój serwer HTTP przekazuje taskStore do McpServer lub Server. Jeśli grep -ri taskstore --exclude-dir=node_modules . nic nie znajdzie, problem Cię nie dotyczy.
Wersje dotknięte podatnością: @modelcontextprotocol/sdk od 1.24.0 do 1.31.0. Pakiety z gałęzi 2.x nie są dotknięte problemem.
Naprawa
Zaktualizuj pakiet do wersji @modelcontextprotocol/sdk 1.32.0 lub nowszej. Każde zadanie jest teraz powiązane z sesją, która je utworzyła, więc klient rozpoczynający nową sesję nie ma już dostępu do swoich wcześniejszych zadań.
Jeśli nie możesz jeszcze przeprowadzić aktualizacji, usuń taskStore lub twórz jeden InMemoryTaskStore na sesję.
Co trzeba zrobić
Zaktualizuj do wersji @modelcontextprotocol/sdk 1.32.0 lub nowszej. Alternatywnie usuń taskStore lub twórz jeden InMemoryTaskStore na sesję.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @modelcontextprotocol/sdk | >= 1.24.0, < 1.32.0 | 1.32.0 |
Odnośniki
- https://github.com/modelcontextprotocol/typescript-sdk/security/advisories/GHSA-22jm-h49p-29qw
- https://github.com/modelcontextprotocol/typescript-sdk/pull/2925
- https://github.com/modelcontextprotocol/typescript-sdk/commit/727075b5bbeb77fbea22041b36b72a73042160fa
- https://github.com/modelcontextprotocol/typescript-sdk
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L- Słabość (CWE)
CWE-639, CWE-862- Platforma
- npm
- Paczka
@modelcontextprotocol/sdk- Ujawniono
- 20.10.2026
- Aktualizacja
- 20.10.2026 21:38
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-22jm-h49p-29qw - CC BY 4.0
Historia podatności: @modelcontextprotocol/sdk
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 8
- Pierwsza → ostatnia
- 12.2025 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 6
- Średnia 2
Ujawnienia w latach
- 2025: 1
- 2026: 7
-
MCP TypeScript SDK: Eksperymentalne zadania nie były powiązane z sesją, która je utworzyła ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.