GHSA-VQQP-X5QM-5QP4
FastMCP MCP client wrappers construct M2M OAuth providers without issuer binding — client secret redirectable to attacker-advertised authori
CVSS 3.1Medium
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.1.2
Обновить fastmcp и fastmcp-slim до версии 4.1.2, где в ClientCredentialsProvider добавлен обязательный параметр issuer. Уязвимы версии с 4.0.0 по 4.1.1.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В клиентских обертках FastMCP отсутствует привязка issuer для M2M OAuth, что позволяет перенаправить client secret на сервер авторизации злоумышленника.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Провайдеры OAuth client credentials в FastMCP не фиксируют authorization-server issuer для преднастроенных учетных данных. Скомпрометированный или вредоносный MCP-сервер может указать сторонний сервер авторизации и перехватить секрет или assertion.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Утечка client secret или подписанных assertion стороннему серверу авторизации при M2M-взаимодействии, что ведет к компрометации учетных записей клиента.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 4.0.0a1➔Fix: 4.1.2
——
>= 4.0.0a1➔Fix: 4.1.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/PrefectHQ/fastmcp/security/advisories/GHSA-vqqp-x5qm-5qp4
- github.comhttps://github.com/PrefectHQ/fastmcp/pull/5933
- github.comhttps://github.com/PrefectHQ/fastmcp/commit/85df42fbf2aa631cc81e0f986718b314128e91df
- github.comhttps://github.com/PrefectHQ/fastmcp
- github.comhttps://github.com/PrefectHQ/fastmcp/releases/tag/v4.1.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости GHSA-VQQP-X5QM-5QP4: FastMCP MCP client wrappers construct M2M OAuth providers without issuer binding — client secret redirectable to attacker-advertised authori. URL: https://cve.futuretools.ru/cve/GHSA-VQQP-X5QM-5QP4
BibTeX формат (LaTeX)
@misc{cve_futuretools_ghsa_vqqp_x5qm_5qp4,
title = {{GHSA-VQQP-X5QM-5QP4: FastMCP MCP client wrappers construct M2M OAuth providers without issuer binding — client secret redirectable to attacker-advertised authori}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/GHSA-VQQP-X5QM-5QP4}},
note = {Оперативный инженерный анализ киберугроз}
}