GitHub 安全公告库 (GHSA)·2026-10-21 02:26· 2 天前精选AI 评分58

MCP TypeScript SDK 跨源重定向泄露请求头与 OAuth 凭据，1.32.0 与 2.3.0 修复

MCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies

AI 导读

GitHub 安全公告指出，@modelcontextprotocol/sdk 1.31.0 及之前所有版本、@modelcontextprotocol/client 2.0.0 至 2.2.0 的 HTTP 客户端传输与 OAuth 请求会跟随任意源的重定向。

为什么值得看

公告说明了跨源重定向会泄露自定义请求头与 OAuth 凭据，并给出受影响版本区间和升级版本，便于使用该 SDK 的开发者核对。