Veille sécuritéBackend & données
P4Moyenne
Le SDK Python MCP valide certains schémas outputSchema déclarés par le serveur avec le résolveur par défaut de jsonschema ; une référence `$ref` non résolue peut provoquer la récupération d’une URL HTTP, HTTPS ou file depuis le contexte réseau ou système de fichiers du client. Les versions ≥1.10.0 et <1.30.0, ainsi que ≥2.0.0 et <2.2.0, sont concernées selon la fiche candidate ; mettre à niveau vers 1.30.0 ou 2.2.0.
Python
IdentifiantCVE-2026-116686
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.30.0 ; 2.2.0
Source : NVD — CVE-2026-116686
Analyse technique
La résolution se fait de façon synchrone sur la boucle d’événements et sans délai maximal, ce qui peut également bloquer les sessions.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27T20:17:13Z, soit le 2026-10-27T22:17:13+02:00, dans la période demandée. La liste des avis GitHub du projet consultée confirme l’avis relatif à la récupération d’URL `$ref` choisies par le serveur lors de la validation de schémas.
ImpactRequêtes réseau ou accès à des fichiers locaux déclenchés par la validation de schéma ; blocage possible de sessions.
Versions affectées≥1.10.0, <1.30.0 ; ≥2.0.0, <2.2.0
Version corrigée1.30.0 ; 2.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-27T22:17:13+02:00
Mise à jour2026-10-28T19:18:03+02:00
Action recommandée
Mettre à niveau vers 1.30.0 ou 2.2.0, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).