--- title: "Chiếm quyền session và truy cập task giữa các session trong MCP Python SDK · DotsAgent" description: "Hai lỗ hổng trong MCP Python SDK cho phép chiếm quyền session và truy cập các task thuộc về session khác. Cả hai đã được khắc phục trong phiên bản 1.27.2 của SDK." url: https://dotsagent.io/vi/security/incidents/2026-06-mcp-python-sdk-session-hijack --- 5 tháng 6, 2026 CVE-2026-52869 CVE-2026-52870 # Chiếm quyền session và truy cập task giữa các session trong MCP Python SDK Hai lỗ hổng trong MCP Python SDK cho phép chiếm quyền session và truy cập các task thuộc về session khác. Cả hai đã được khắc phục trong phiên bản 1.27.2 của SDK. ## Chuyện gì đã xảy ra Thông báo GHSA-JPW9-PFVF-9F58, được công bố ngày 5 June 2026, đề cập đến hai lỗ hổng trong MCP Python SDK. CVE-2026-52869 cho phép chiếm quyền phiên, còn CVE-2026-52870 cho phép truy cập các tác vụ thuộc phiên khác. Cả hai lỗ hổng đã được khắc phục trong phiên bản 1.27.2. ## Vì sao cuộc tấn công thành công Cả hai lỗ hổng đều xuất phát từ cùng một thiếu sót. Phiên hoặc tác vụ phải thuộc về principal đã xác thực tạo ra nó, và máy chủ phải kiểm tra quyền sở hữu đó trong mọi request. ## Cần làm gì - Cập nhật MCP Python SDK lên phiên bản 1.27.2 trở lên. - Gắn từng phiên và tác vụ với người dùng đã xác thực, rồi kiểm tra quyền sở hữu trong mỗi request. - Coi session id là mã định danh, không phải bằng chứng về danh tính. - Nếu có thể, hãy dùng một instance máy chủ và transport riêng cho mỗi phiên. [Cách ly phiên MCP và tenant](https://dotsagent.io/vi/security#sessionIsolation) - [Tự động phê duyệt WebFetch trong Claude Code làm rò rỉ dữ liệu qua huggingface.co](https://dotsagent.io/vi/security/incidents/2026-06-claude-code-webfetch-exfiltration) [Làm theo checklist bảo mật →](https://dotsagent.io/vi/security/checklist) ## Nguồn 1. [github.com](https://github.com/advisories/GHSA-JPW9-PFVF-9F58)/advisories/GHSA-JPW9-PFVF-9F58 Tài liệu tham khảo độc lập dành cho những người xây dựng AI agent. Không liên kết với bất kỳ nhà cung cấp nào được nêu ở đây. © 2026 DotsAgent · Dữ liệu được kiểm tra ngày 1 tháng 10, 2026