--- title: "تسرّب MCP TypeScript SDK استجابات بين العملاء · DotsAgent" description: "قد ترسل خوادم MCP المبنية باستخدام TypeScript SDK استجابات عميل إلى عميل آخر إذا شاركت العملاء مثيلاً واحداً للخادم أو لوسيلة النقل. عولجت المشكلة في الإصدار 1.26.0." url: https://dotsagent.io/ar/security/incidents/2026-02-mcp-typescript-sdk-response-leak --- 4 فبراير 2026 CVE-2026-25536 # تسرّب MCP TypeScript SDK استجابات بين العملاء قد ترسل خوادم MCP المبنية باستخدام TypeScript SDK استجابات عميل إلى عميل آخر إذا شاركت العملاء مثيلاً واحداً للخادم أو لوسيلة النقل. عولجت المشكلة في الإصدار 1.26.0. ## ما الذي حدث يتناول التنبيه GHSA-345p-7cg4-v4c7، المنشور في 4 February 2026 تحت CVE-2026-25536، خوادم MCP المبنية باستخدام TypeScript SDK. عندما يعيد الخادم استخدام مثيل واحد للخادم أو لوسيلة النقل مع عدة عملاء، يمكن أن تصل استجابات مخصصة لعميل إلى عميل آخر. يعالج الإصدار 1.26.0 من SDK المشكلة. ## لماذا نجح الهجوم يحتفظ كائن الخادم أو وسيلة النقل المشتركة بحالة جميع العملاء المتصلين في الوقت نفسه. وعند مطابقة الاستجابات بالطلبات عبر هذه الحالة المشتركة، قد تُرسل إجابة أحد العملاء إلى شخص آخر. ## ما ينبغي فعله - حدّث MCP TypeScript SDK إلى الإصدار 1.26.0 أو أحدث. - أنشئ مثيلاً جديداً للخادم ووسيلة النقل لكل جلسة. - اربط كل جلسة بالمستخدم الذي تم التحقق من هويته، وتحقق من ذلك في كل طلب. - اختبر عميلين بالتوازي للتأكد من بقاء بياناتهما منفصلة. [اعزل جلسات MCP والمستأجرين](https://dotsagent.io/ar/security#sessionIsolation) - [التعليق والتحكم: نصوص PR تسرق الأسرار من وكلاء CI](https://dotsagent.io/ar/security/incidents/2026-04-comment-and-control-ci-secrets) - [ClawHavoc: مئات المهارات الخبيثة على ClawHub تنشر AMOS](https://dotsagent.io/ar/security/incidents/2026-02-clawhavoc-malicious-skills) [اتبع قائمة التحقق الأمنية →](https://dotsagent.io/ar/security/checklist) ## المصادر 1. [github.com](https://github.com/advisories/GHSA-345p-7cg4-v4c7)/advisories/GHSA-345p-7cg4-v4c7 مرجع مستقل لمطوّري وكلاء الذكاء الاصطناعي. لا تربطنا أي علاقة بأي من المورّدين المذكورين هنا. © 2026 DotsAgent · تم التحقق من المعلومات في 1 أكتوبر 2026