Veille sécuritéFrontend
P4Moyenne
Les transports HTTP et les requêtes OAuth du SDK suivaient des redirections vers une autre origine, pouvant transmettre des en-têtes personnalisés et l’identifiant de session; avec une redirection 307 ou 308, le corps de la requête pouvait aussi être renvoyé. Les versions affectées sont le SDK jusqu’à 1.31.0 et le paquet client de 2.0.0 à 2.2.0; les clients stdio ne sont pas concernés.
TypeScript
IdentifiantCVE-2026-111769
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif@modelcontextprotocol/sdk 1.32.0 ou ultérieur; @modelcontextprotocol/client 2.3.0 ou ultérieur
Source : GHSA-6prh-2h8m-c8cw — MCP TypeScript SDK
Analyse technique
Concerne `StreamableHTTPClientTransport`, `SSEClientTransport` et les fonctions OAuth du SDK. L’avis précise que les navigateurs ne suivent plus ces redirections inter-origines et que `redirectPolicy: 'follow'` rétablit le comportement exposé.
Impact, versions et correctif
Événement datéL’avis GHSA a été publié le 2026-10-20 à 18:26:30Z, dans la période demandée.
ImpactDivulgation possible d’en-têtes personnalisés, de corps de requête OAuth et de données de session à une autre origine.
Versions affectées@modelcontextprotocol/sdk = 2.0.0, <= 2.2.0
Version corrigée@modelcontextprotocol/sdk 1.32.0 ou ultérieur; @modelcontextprotocol/client 2.3.0 ou ultérieur
ContournementFournir une fonction `fetch` qui refuse les redirections. Si des secrets ont pu être transmis à un hôte non fiable, renouveler les clés et secrets concernés et révoquer les jetons.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-20T18:26:30Z
Mise à jour2026-10-20T18:26:32Z
Action recommandée
Mettre à niveau vers les versions corrigées; contrôler la configuration de redirection et renouveler les secrets potentiellement exposés.
Sources
Priorisation DFS : P4 · 1 source(s).