CVE-2026-64684
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
RMCP to oficjalny pakiet SDK Rusta dla protokołu Model Context Protocol. W wersjach wcześniejszych niż 2.1.0 StreamableHttpClientTransport skrzynki rmcp w pliku crates/rmcp/src/transport/common/reqwest/streamable_http_client.rs tworzy swojego default_http_client z polityką automatycznego przekierowania reqwest i stosuje wartości dostarczone przez rozmówcę z StreamableHttpClientTransportConfig.custom_headers bez oznaczania ich jako wrażliwych. Gdy złośliwy lub zagrożony punkt końcowy MCP zwraca przekierowanie 307 lub 308 między źródłami, polecenie reqwest podąża za przekierowaniem, a Apply_custom_headers powoduje odtworzenie niestandardowych kluczy API lub tokenów uwierzytelniających do nowego źródła, gdzie osoba atakująca może je przechwycić i ponownie wykorzystać. Nie ma to wpływu na oddzielną ścieżkę auth_header, ponieważ używa standardowego nagłówka Authorization, który wymaga pasków w przypadku przekierowań między źródłami. Ten problem został rozwiązany w wersji 2.1.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/modelcontextprotocol/rust-sdk/commit/496902b9cf2c8a947454718da31829ae776b969b
- https://github.com/modelcontextprotocol/rust-sdk/pull/936
- https://github.com/modelcontextprotocol/rust-sdk/releases/tag/rmcp-v2.1.0
- https://github.com/modelcontextprotocol/rust-sdk/security/advisories/GHSA-9g45-5xwm-f3wc
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org