GHSA-7XGJ-8392-5Q4R
FastMCP: Post-transform component authorization is skipped on direct calls
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.4.10, 4.1.2
Обновить fastmcp до версии с авторизацией финальных трансформированных компонентов и механизмом затенения совпадающих resource templates.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В FastMCP обнаружен обход авторизации при прямом вызове трансформированных компонентов. Сервер проверял права доступа к исходному объекту, но отдавал клиенту измененный компонент без повторной валидации политик.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При обработке прямых запросов FastMCP проверял авторизацию для исходного компонента, однако серверные трансформации могли модифицировать метаданные, влияющие на политику доступа. В результате возвращался трансформированный компонент в обход проверок.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Клиент, знающий идентификатор компонента, может несанкционированно вызывать инструменты (tools), считывать защищенные ресурсы (resources) и промпты (prompts) в обход установленной политики разграничения доступа.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 3.0.0➔Fix: 3.4.10
——
>= 4.0.0➔Fix: 4.1.2
——
>= 3.0.0➔Fix: 3.4.10
——
>= 4.0.0➔Fix: 4.1.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)
- github.comhttps://github.com/PrefectHQ/fastmcp/security/advisories/GHSA-7xgj-8392-5q4r
- github.comhttps://github.com/PrefectHQ/fastmcp/pull/5933
- github.comhttps://github.com/PrefectHQ/fastmcp/pull/5934
- github.comhttps://github.com/PrefectHQ/fastmcp/commit/85df42fbf2aa631cc81e0f986718b314128e91df
- github.comhttps://github.com/PrefectHQ/fastmcp/commit/8649ba5fc91a68568a69729497edeb804a064332
- github.comhttps://github.com/PrefectHQ/fastmcp
- github.comhttps://github.com/PrefectHQ/fastmcp/releases/tag/v3.4.10
- github.comhttps://github.com/PrefectHQ/fastmcp/releases/tag/v4.1.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-7XGJ-8392-5Q4R: FastMCP: Post-transform component authorization is skipped on direct calls. URL: https://cve.futuretools.ru/cve/GHSA-7XGJ-8392-5Q4R
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_7xgj_8392_5q4r,
title = {{GHSA-7XGJ-8392-5Q4R: FastMCP: Post-transform component authorization is skipped on direct calls}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-7XGJ-8392-5Q4R}},
note = {Оперативный инженерный анализ киберугроз}
}