FastMCP : absence de liaison d’émetteur dans les fournisseurs OAuth

Veille sécuritéBackend & données

P4Moyenne

Les fournisseurs OAuth de FastMCP ne liaient pas les identifiants client à l’émetteur du serveur d’autorisation attendu, ce qui pouvait transmettre un secret client ou une assertion à un serveur annoncé par un serveur MCP non fiable. Les versions stables 4.0.0 à 4.1.1 sont concernées; le correctif est disponible dans 4.1.2, avec configuration de issuer nécessaire pour activer cette protection.

IdentifiantAvis de sécurité

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.1.2

Source : GHSA-vqqp-x5qm-5qp4 — FastMCP

Analyse technique

Le correctif ajoute le paramètre issuer aux fournisseurs OAuth concernés. La mise à niveau seule ne suffit pas si issuer n’est pas configuré; les identifiants réutilisables éventuellement exposés doivent être renouvelés.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-23 à 21:31:30Z, soit le 2026-10-23 à 23:31:30+02:00, dans la période demandée.

ImpactUn serveur MCP malveillant ou compromis peut faire divulguer des identifiants OAuth à un serveur d’autorisation contrôlé par un attaquant.

Versions affectéesfastmcp et fastmcp-slim >= 4.0.0a1, < 4.1.2

Version corrigée4.1.2

ContournementConfigurer issuer avec l’identifiant de l’émetteur d’autorisation attendu; jusqu’à mise à niveau, éviter les serveurs MCP non fiables.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

Publication2026-10-23T23:31:30+02:00

Mise à jour2026-10-23T23:31:31+02:00

Détection / vérification

Vérifier les versions de FastMCP et l’usage des fournisseurs OAuth client credentials ou PrivateKeyJWT avec des serveurs MCP non fiables.

Action recommandée

Mettre à niveau vers FastMCP 4.1.2 ou ultérieur, configurer explicitement issuer et renouveler les secrets ou identifiants réutilisables susceptibles d’avoir été transmis.

Sources

GHSA-vqqp-x5qm-5qp4 — FastMCP

Priorisation DFS : P4 · 1 source(s).