Veille sécuritéBackend & données
P4Moyenne
Plusieurs clients HTTP du SDK Python MCP peuvent suivre une redirection vers une autre origine en transmettant des en-têtes d’identification personnalisés et, pour les réponses 307 ou 308, le corps de la requête. Si un attaquant peut influencer la destination de redirection d’un point de terminaison de confiance, ces données peuvent lui être divulguées ; mettre à niveau vers 1.30.0 ou 2.2.0.
Python
IdentifiantCVE-2026-116685
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.30.0 ; 2.2.0
Source : NVD — CVE-2026-116685
Analyse technique
Les chemins concernés comprennent notamment streamable_http_client, sse_client, ClientSessionGroup et les chemins client OAuth indiqués dans l’avis.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-27T20:17:13Z, soit le 2026-10-27T22:17:13+02:00, dans la période demandée. La liste des avis GitHub du projet consultée confirme l’avis relatif aux redirections inter-origines transportant des en-têtes et corps personnalisés.
ImpactDivulgation possible d’en-têtes d’identification personnalisés et du corps de requête à un serveur d’une autre origine.
Versions affectées≥1.8.0, <1.30.0 ; ≥2.0.0, <2.2.0
Version corrigée1.30.0 ; 2.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-27T22:17:13+02:00
Mise à jour2026-10-28T17:24:56+02:00
Action recommandée
Mettre à niveau vers 1.30.0 ou 2.2.0, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).