平台
python
组件
fastmcp
修复版本
3.2.1
3.2.0
CVE-2026-32871 描述了 FastMCP 中一个关键的路径遍历漏洞。该漏洞源于 OpenAPIProvider 在处理 OpenAPI 规范时，未对路径参数进行 URL 编码，导致攻击者可以构造恶意请求访问敏感文件。该漏洞影响 FastMCP 版本小于或等于 3.1.1 的用户，建议升级至 3.2.0 版本以修复此问题。
该路径遍历漏洞允许攻击者通过构造恶意的 OpenAPI 请求，访问 FastMCP 内部文件系统中的未经授权的资源。攻击者可以利用此漏洞读取敏感配置信息、源代码或其他机密数据。由于 FastMCP 通常用于管理和配置 MCP 环境，因此该漏洞可能导致对整个 MCP 基础设施的潜在影响。攻击者可能能够利用此漏洞进行横向移动，访问其他连接到 MCP 的系统。如果 FastMCP 运行在共享主机环境中，则多个用户都可能受到影响。
该漏洞已于 2026 年 3 月 31 日公开披露。目前尚无公开的漏洞利用程序 (PoC)，但由于漏洞的严重性和易于利用性，预计未来可能会出现。该漏洞尚未被添加到 CISA KEV 目录，但其潜在影响值得关注。建议密切关注安全社区的动态，及时获取最新的漏洞信息。
Organizations utilizing FastMCP for managing MCP client API exposure are at risk, particularly those running versions prior to 3.2.0. Environments with less stringent input validation practices or those lacking WAF protection are especially vulnerable. Shared hosting environments where multiple users share the same FastMCP instance could also be affected, as an attacker could potentially exploit the vulnerability to access data belonging to other users.
• python / server:
import os
import urllib.parse
def check_url_encoding(url, base_url):
parsed_url = urllib.parse.urljoin(base_url, url)
if '..' in parsed_url:
print(f"Potential Path Traversal detected: {parsed_url}")• linux / server:
journalctl -u fastmcp -f | grep "urljoin" # Monitor for URL construction logs• generic web:
curl -I 'http://your-fastmcp-server/api/v1/users/../sensitive_file.txt' # Attempt directory traversaldisclosure
漏洞利用状态
EPSS
0.35% (58% 百分位)
CISA SSVC
最有效的缓解措施是立即升级 FastMCP 至 3.2.0 或更高版本。如果无法立即升级，可以尝试以下临时缓解措施：首先，审查 FastMCP 的 OpenAPI 规范，确保路径参数没有被错误地配置。其次，实施严格的访问控制策略，限制对 FastMCP 内部 API 的访问。第三，使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，阻止包含 ../ 等路径遍历序列的请求。最后，监控 FastMCP 的日志文件，查找可疑活动。
将 FastMCP 库升级到 3.2.0 或更高版本。此版本修复了 SSRF 和路径遍历漏洞。可以使用 pip 包管理器进行升级：`pip install --upgrade fastmcp`。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-32871 是 FastMCP 版本小于或等于 3.1.1 中发现的一个路径遍历漏洞，攻击者可以利用未编码的路径参数访问敏感文件。
如果您正在使用 FastMCP 版本小于或等于 3.1.1，则您可能受到此漏洞的影响。请立即升级至 3.2.0 或更高版本。
最简单的修复方法是升级到 FastMCP 3.2.0 或更高版本。如果无法升级，请实施临时缓解措施，例如访问控制和 WAF 规则。
目前尚未确认 CVE-2026-32871 正在被积极利用，但由于漏洞的严重性，预计未来可能会出现利用情况。
请查阅 FastMCP 官方安全公告或 GitHub 仓库获取更多信息。
CVSS 向量
上传你的 requirements.txt 文件，立即知道是否受影响。