DeepSeek MCP HTTP Auth Bypass and Cross-Session Data Leakage (CVE-2026-55605/55604)

根据提供的网页截图，以下是关于漏洞的关键信息总结： 漏洞概述 1. CVE-2026-55605 - 描述: 在自托管HTTP端点上缺少身份验证。在HTTP传输模式下，服务器持有 并用于所有 调用，但 没有进行身份验证，服务器绑定到 ，任何可以访问该端口的客户端都可以初始化会话、枚举工具并调用它们。 - 影响范围: 任何可以访问该端口的客户端。 - 修复方案: 默认绑定到 ，任何可以访问该端口的客户端都需要一个有效的Bearer token来保护端点。 2. CVE-2026-55604 - 描述: HTTP传输中的跨会话数据泄露（高严重性）。 是一个进程级单例，在所有连接的HTTP客户端之间共享。在HTTP传输模式下，任何提供另一个客户端的 到 的客户端都可以读取该客户端的对话历史。 工具通过允许任何客户端枚举所有活动会话ID（ ）、删除任何会话（ ）或擦除每个租户的所有会话（ ）来加剧此问题。 - 影响范围: 任何提供另一个客户端的 到 的客户端。 - 修复方案: 每个HTTP会话现在获得一个隔离的 实例。对话历史、会话列表和会话删除仅限于创建它们的HTTP会话。同一服务器上的客户端不再共享会话状态。 影响范围 CVE-2026-55605: 任何可以访问自托管HTTP端点的客户端。 CVE-2026-55604: 任何提供另一个客户端的 到 的客户端。 修复方案 CVE-2026-55605: 默认绑定到 ，任何可以访问该端口的客户端都需要一个有效的Bearer token来保护端点。 CVE-2026-55604: 每个HTTP会话现在获得一个隔离的 实例。对话历史、会话列表和会话删除仅限于创建它们的HTTP会话。同一服务器上的客户端不再共享会话状态。 POC代码或利用代码 页面中未包含具体的POC代码或利用代码。 总结 CVE-2026-55605: 自托管HTTP端点缺少身份验证，任何可以访问该端口的客户端都可以初始化会话、枚举工具并调用它们。修复方案是默认绑定到 ，并需要有效的Bearer token。 CVE-2026-55604: HTTP传输中的跨会话数据泄露，任何提供另一个客户端的 到 的客户端都可以读取该客户端的对话历史。修复方案是每个HTTP会话获得一个隔离的 实例。

目標達成すべての支援者に感謝 — 100%達成しました！

DeepSeek MCP HTTP Auth Bypass and Cross-Session Data Leakage (CVE-2026-55605/55604)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

DeepSeek MCP HTTP Auth Bypass and Cross-Session Data Leakage (CVE-2026-55605/55604)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！