--- title: "MCP TypeScript SDK làm rò rỉ phản hồi giữa các client · DotsAgent" description: "Các MCP server dùng TypeScript SDK và chia sẻ một instance server hoặc transport giữa nhiều client có thể gửi phản hồi của client này cho client khác. Đã khắc phục trong 1.26.0." url: https://dotsagent.io/vi/security/incidents/2026-02-mcp-typescript-sdk-response-leak --- 4 tháng 2, 2026 CVE-2026-25536 # MCP TypeScript SDK làm rò rỉ phản hồi giữa các client Các MCP server dùng TypeScript SDK và chia sẻ một instance server hoặc transport giữa nhiều client có thể gửi phản hồi của client này cho client khác. Đã khắc phục trong 1.26.0. ## Chuyện gì đã xảy ra Khuyến cáo GHSA-345p-7cg4-v4c7, được công bố vào 4 February 2026 dưới mã CVE-2026-25536, áp dụng cho các MCP server được xây dựng bằng TypeScript SDK. Khi server dùng lại một instance server hoặc transport cho nhiều client, phản hồi dành cho client này có thể đến được client khác. SDK phiên bản 1.26.0 đã khắc phục sự cố. ## Vì sao cuộc tấn công thành công Đối tượng server hoặc transport dùng chung lưu trạng thái của tất cả client đang kết nối cùng lúc. Khi phản hồi được ghép với request thông qua trạng thái dùng chung đó, câu trả lời của một client có thể bị gửi cho người khác. ## Cần làm gì - Cập nhật MCP TypeScript SDK lên phiên bản 1.26.0 trở lên. - Tạo instance server và transport mới cho mỗi session. - Gắn mỗi session với người dùng đã xác thực và kiểm tra thông tin này trong mọi request. - Kiểm thử đồng thời với hai client để xác nhận dữ liệu của họ luôn được tách biệt. [Cách ly phiên MCP và tenant](https://dotsagent.io/vi/security#sessionIsolation) - [Comment and Control: nội dung PR đánh cắp secret từ agent CI](https://dotsagent.io/vi/security/incidents/2026-04-comment-and-control-ci-secrets) - [ClawHavoc: hàng trăm skill ClawHub độc hại phát tán AMOS](https://dotsagent.io/vi/security/incidents/2026-02-clawhavoc-malicious-skills) [Làm theo checklist bảo mật →](https://dotsagent.io/vi/security/checklist) ## Nguồn 1. [github.com](https://github.com/advisories/GHSA-345p-7cg4-v4c7)/advisories/GHSA-345p-7cg4-v4c7 Tài liệu tham khảo độc lập dành cho những người xây dựng AI agent. Không liên kết với bất kỳ nhà cung cấp nào được nêu ở đây. © 2026 DotsAgent · Dữ liệu được kiểm tra ngày 1 tháng 10, 2026