FICHE CVE

CVE-2026-25536

Publiée le 2026-02-04 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les SDK TypeScript pour les serveurs Model Context Protocol (MCP), versions 1.10.0 à 1.25.3, sont concernés, spécifiquement lorsqu'une seule instance de serveur est réutilisée pour plusieurs connexions clients. Un attaquant distant disposant d'une authentification de bas niveau peut exploiter cette faille pour divulguer des données de réponse sensibles appartenant à d'autres clients. Cette opération est relativement facile à exécuter via un réseau et ne nécessite aucune interaction de la part de la victime.

CVSS 3.17.1 ÉLEVÉE

Type de faiblesse

Situation de concurrence (race condition) · CWE-362 Situation de concurrence TOCTOU · CWE-367

Publiée2026-02-04

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

MCP TypeScript SDK is the official TypeScript SDK for Model Context Protocol servers and clients. From version 1.10.0 to 1.25.3, cross-client response data leak when a single McpServer/Server and transport instance is reused across multiple client connections, most commonly in stateless StreamableHTTPServerTransport deployments. This issue has been patched in version 1.26.0.