W bibliotece MCP Python SDK, służącej do integracji asystentów AI z zewnętrznymi narzędziami, wykryto poważną podatność. Błąd znajduje się w mechanizmie discovery, który w trybie awaryjnym pomija weryfikację tożsamości dostawcy logowania. Pozwala to złośliwemu serwerowi na przejęcie kluczowych danych, takich jak client secret, authorization code oraz proof key.
Atak jest niezwykle trudny do wykrycia, ponieważ użytkownik zostaje przekierowany na autentyczną stronę logowania (np. Google czy Okta). Proces wygląda całkowicie normalnie, a jedynym sygnałem może być komunikat o awarii serwera MCP. Po uzyskaniu danych atakujący może działać w zakresie uprawnień przyznanych klientowi OAuth, co może oznaczać dostęp do poczty czy plików w chmurze.
Podatność dotyczy wersji od 1.9.1 do 1.29.1 oraz od 2.0.0 do 2.1.1. Luka otrzymała ocenę 7.5 w skali CVSS. Aby się chronić, należy zaktualizować SDK do wersji 2.2.0 (dla linii 2.x) lub 1.30.0 (dla linii 1.x) lub nowszych. Dodatkowo zaleca się czyszczenie starych rejestracji i ręczne definiowanie pola issuer w konfiguracji dostawców.
