GitHub 安全公告库 (GHSA)·2026-10-24 05:32· 3 小时前精选AI 评分58

FastMCP 直接调用路径跳过变换后组件授权，公开 PoC 并修复于 3.4.10 和 4.1.2

FastMCP: Post-transform component authorization is skipped on direct calls

AI 导读

FastMCP 被报告存在授权漏洞：直接查找路径在应用 transform 后返回组件，却未对最终组件重新执行 AuthCheck，知道组件标识的低权限调用者可调用被策略拒绝的工具或读取资源、模板与提示词。

为什么值得看

报告给出可运行的 PoC 与受影响版本区间，说明变换后组件在直接调用路径上绕过授权检查的成因。