Betroffen ist fast-mcp-telegram, ein MCP-Server für Telegram. Bei der Anmeldung über HTTP wird das übergebene Bearer-Token unverändert in einen Dateipfad zur Sitzungsdatei eingesetzt. Die Prüfung blockiert zwar den reservierten Tokennamen für die Standardsitzung, filtert jedoch keine Pfadtrennzeichen und normalisiert den zusammengesetzten Pfad nicht, bevor sie prüft, ob die Sitzungsdatei existiert. Ein entfernter Client kann deshalb ein Token mit relativen Pfadangaben senden und sich auf diesem Umweg als die vorhandene Standard- bzw. Altsitzung authentifizieren. Damit wird die Schutzmaßnahme umgangen, die verhindern soll, dass HTTP-Mehrbenutzersitzungen mit dem Standardkonto kollidieren. Auch die Funktion, die Werkzeuge mit einem Kontopräfix versieht, hilft nicht: Der Angreifer sieht und nutzt die Werkzeuge des Standardkontos weiterhin. Im Ergebnis erhält ein unbefugter Nutzer Zugriff auf das hinterlegte Telegram-Konto und dessen Daten.