JVNDB-2026-010983

lfprojectsのMCP Go SDKにおける複数の脆弱性

Go MCP SDKはバージョン1.3.1未満でJSON-RPCおよびMCPプロトコルメッセージの解析にGo標準のencoding/json.Unmarshalを使用していました。Goの標準ライブラリはJSONキーと構造体フィールドタグの照合を大文字小文字を区別せずに行います。例えば、json:"method"とタグ付けされたフィールドは"Method"や"METHOD"などにもマッチします。これは正確なフィールド名を定義するJSON-RPC 2.0仕様に違反しています。悪意のあるMCPピアはSDKが黙認する非標準のフィールドの大文字小文字を含むプロトコルメッセージを送信できた可能性があります。これにより中間検査の回避や実装間の不整合が生じる可能性がありました。Goの標準JSONアンマーシャリングはコミット7b8d81cで大文字小文字を区別するデコーダに置き換えられました。ユーザーはこの問題を解決するためにv1.3.1にアップデートすることを推奨します。

lfprojects

• MCP Go SDK 1.3.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Improper Handling of Case Sensitivity in github.com/modelcontextprotocol/go-sdk  Advisory  modelcontextprotocol/go-sdk  GitHub

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]
2. 解釈の競合(CWE-436) [その他]

1. CVE-2026-27896

1. National Vulnerability Database (NVD) : CVE-2026-27896
2. 関連文書 : all: use case-sensitive JSON unmarshaling (#807)  modelcontextprotocol/go-sdk@7b8d81c  GitHub

• [2026年04月15日]
    掲載