何が起きたか
公式MCP TypeScript SDKは、1.24.0から1.32.0未満の間、実験的タスク機能（taskStore）でどのセッションがタスクを作成したかを検証していませんでした。共有のInMemoryTaskStoreを使用するクライアントは、互いのタスクをリスト、読み取り、キャンセルできました。この問題は1.32.0で修正されています。
なぜ重要か
MCP TypeScript SDKは、エージェントエコシステム全体で使用される公式のクライアント/サーバーSDKです。タスクストレージに対するセッションスコープチェックの欠如により、あるセッションが別のセッションの長時間実行タスクを観察・キャンセルでき、エージェントセッション間でタスクペイロード/状態が漏れる可能性があるか、セッションが分離されるべき並行ワークフローを妨げる可能性があります。
攻撃経路
共有タスクストア内で、あるMCPクライアントセッションが別のセッションのタスクをリスト/読み取り/キャンセルする。
影響を受けるシステム
modelcontextprotocol/typescript-sdk 1.24.0から1.32.0未満（実験的taskStore/InMemoryTaskStore）
緩和策
@modelcontextprotocol/sdk 1.32.0以降にアップグレード