CVE-2026-104850 El cliente OAuth del SDK de TypeScript de MCP podía enviar credenciales a un servidor de autorización…

Qué es CVE-2026-104850

El SDK de TypeScript de MCP es el SDK oficial de TypeScript para servidores y clientes de Model Context Protocol. Desde la versión 1.12.0 y antes de 1.31.0 y 2.2.0, el soporte de cliente OAuth del SDK permitía que el servidor MCP al que se conectaba un cliente decidiera qué servidor de autorización recibía las credenciales OAuth del cliente. Las credenciales almacenadas y preaprovisionadas no estaban vinculadas al servidor de autorización al que pertenecen. Un servidor MCP malicioso o comprometido podía indicar…

Productos y versiones afectadas

• modelcontextprotocol typescript-sdk

  • >= 1.12.0, < 1.31.0
  • >= 2.0.0, < 2.2.0

Qué hacer

1. Verificá si usás typescript-sdk y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• Iceman2050/mcp-oauth-discovery-prober ↗Probe MCP OAuth discovery issuer validation (CVE-2026-104850 class)PUBLICADO 17 OCT · 22:51

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

MCP TypeScript SDK is the official TypeScript SDK for Model Context Protocol servers and clients. Starting in version 1.12.0 and prior to versions 1.31.0 and 2.2.0, the SDK's OAuth client support let the MCP server a client connected to decide which authorization server received the client's OAuth credentials. Stored and pre-provisioned credentials were not bound to the authorization server they belong to. A malicious or compromised MCP server could name its own authorization server in its protected resource metadata. Without any user interaction, the client would send that server the `refresh_token` and `client_secret` stored from an earlier sign-in (1.x), or the configured `client_secret` or signed assertion of a bundled non-interactive provider (1.x and 2.x). Only those applications that use the SDK as an MCP client over HTTP with an `authProvider`: your own `OAuthClientProvider`, or the bundled `ClientCredentialsProvider`, `PrivateKeyJwtProvider`, `StaticPrivateKeyJwtProvider` or (2.x) `CrossAppAccessProvider` and that may connect to an MCP server the owners does not fully trust while holding credentials for a legitimate authorization server are affected. `@modelcontextprotocol/sdk` 1.31.0 (1.x) and `@modelcontextprotocol/client` 2.2.0 (2.x) patch the issue. A workaround for those who cannot upgrade is available. 2.0.0 and 2.1.0 already accept `expectedIssuer`. On 1.x, the only workaround is to connect OAuth-enabled clients only to MCP servers you trust.

Referencias

• github.com/modelcontextprotocol/typescript-sdk/security/advisories/GHSA-6qxp-vccf-f47hX_REFSOURCE_CONFIRM
• github.com/modelcontextprotocol/typescript-sdk/pull/2887X_REFSOURCE_MISC
• github.com/modelcontextprotocol/typescript-sdk/commit/edd12e282620ebf770d67316f19cf91d411…X_REFSOURCE_MISC
• github.com/modelcontextprotocol/typescript-sdk/releases/tag/v2.2.0X_REFSOURCE_MISC

Historial de la alerta

1. 17 OCT · 22:51EXPLOIT PÚBLICO Se publicó el repositorio Iceman2050/mcp-oauth-discovery-prober.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.