GitHub 安全公告库 (GHSA)·· 3 小时前精选AI 评分58
FastMCP 4.0.0–4.1.1 的 M2M OAuth 客户端缺少 issuer 绑定，4.1.2 修复
FastMCP MCP client wrappers construct M2M OAuth providers without issuer binding — client secret redirectable to attacker-advertised authorization server
AI 导读
FastMCP 维护方确认 4.0.0–4.1.1 的 ClientCredentialsOAuthProvider 与 PrivateKeyJWTOAuthProvider 未暴露授权服务器 issuer，不可信的 MCP 服务器可广告另一授权服务器并收到客户端密钥或签名断言。
为什么值得看
通告说明仅升级到 4.1.2 不足以防护，还需显式配置 issuer 并轮换可能已泄露的凭据。
来源：GitHub 安全公告库 (GHSA) · github.com