FastMCP 转换后授权检查被绕过

GitHub 安全公告库披露 FastMCP 授权漏洞（GHSA-7xgj-8392-5q4r）：直接查找路径在应用 transform 后返回组件，却未对最终组件重新执行 AuthCheck。拥有有效低权限身份、缺少所需 scope 且知道或猜到转换后组件名的调用者，可调用被策略拒绝的工具，或读取资源、模板与提示词。 该漏洞影响使用受支持的 provider、server 或 session transform 以及带元数据的组件 AuthCheck 的服务器。受影响稳定版本为 3.0.0–3.4.9 和 4.0.0–4.1.1，修复版本为 3.4.10 和 4.1.2；公告附带公开 PoC。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。