Veille sécuritéFrontend
P3Élevée
La fonctionnalité expérimentale `taskStore` ne vérifie pas quelle session a créé une tâche, permettant à des clients partageant le même `InMemoryTaskStore` de consulter ou d’annuler les tâches d’autres sessions. Le défaut concerne les versions 1.24.0 à antérieures à 1.32.0; l’avis recommande aussi de cesser d’utiliser cette fonctionnalité expérimentale dépréciée.
TypeScript
IdentifiantCVE-2026-111767
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif@modelcontextprotocol/sdk 1.32.0 ou ultérieur
Analyse technique
La faille concerne les serveurs HTTP utilisant la fonctionnalité expérimentale tasks et un magasin de tâches partagé entre sessions.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-10-20 à 18:26:54Z, dans la période demandée; la fiche CVE NVD fournie est également datée du 2026-10-20.
ImpactUn client partageant le magasin peut consulter ou annuler les tâches d’une autre session.
Versions affectées@modelcontextprotocol/sdk >= 1.24.0, < 1.32.0; les paquets 2.x ne sont pas concernés selon l’avis
Version corrigée@modelcontextprotocol/sdk 1.32.0 ou ultérieur
ContournementRetirer `taskStore` ou utiliser un `InMemoryTaskStore` distinct par session.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
Publication2026-10-20T18:26:54Z
Mise à jour2026-10-20T18:26:55Z
Action recommandée
Mettre à niveau vers 1.32.0 ou ultérieur; supprimer `taskStore` si la mise à niveau n’est pas possible.
Sources
Priorisation DFS : P3 · 2 source(s).