Dans certaines configurations HTTP où plusieurs clients partagent un transport sans état ou une même instance serveur, les réponses et notifications destinées à un client pouvaient être distribuées à un autre. Le défaut concerne `@modelcontextprotocol/server` de 2.0.0 à 2.2.0; les serveurs stdio et les configurations utilisant un nouveau serveur par requête ou session ne sont pas concernés selon l’avis.
Analyse technique
Les messages étaient associés à une connexion par le seul identifiant JSON-RPC, qui peut entrer en collision entre clients. La mise à niveau doit être accompagnée d’une modification du code pour éviter le partage d’instances.
Impact, versions et correctif
Action recommandée
Mettre à niveau vers 2.3.0 ou ultérieur et modifier le code pour créer des instances séparées par requête ou session.
Sources
Priorisation DFS : P3 · 1 source(s).