CVE-2026-108395

اسم البرنامج المصاب والإصدارات المتأثرة io.modelcontextprotocol.sdk:mcp الإصدارات من 0.8.0 إلى 0.12.0 io.modelcontextprotocol.sdk:mcp-core الإصدارات من 0.13.0 إلى 0.18.3 io.modelcontextprotocol.sdk:mcp-core الإصدارات من 1.0.0 إلى 1.1.3 io.modelcontextprotocol.sdk:mcp-core الإصدارات من 2.0.0-M1 إلى 2.0.0

Description تقوم عمليات نقل الخادم المستندة إلى Servlet SSE و Streamable HTTP و Stateless بقراءة جسم طلب HTTP في الذاكرة دون فرض حد أقصى للحجم. يمكن لعميل عن بُعد غير مصرح له إرسال جسم POST بحجم كبير جدًا، بما في ذلك استخدام ترميز نقل البيانات المجزأ (chunked transfer encoding)، حتى يتم استنفاد ذاكرة الـ heap لعملية Java ويصبح النظام غير متاح. يمكن لعمليات المصادقة، أو التحقق من الأصل (Origin) أو المضيف (Host)، أو تحديد حد لحجم الطلب في المراحل السابقة (upstream) أن ترفض الطلب قبل حدوث عملية القراءة المصابة.

Recommendations تحديث io.modelcontextprotocol.sdk:mcp-core إلى الإصدار 0.18.4 تحديث io.modelcontextprotocol.sdk:mcp-core إلى الإصدار 1.1.4 تحديث io.modelcontextprotocol.sdk:mcp-core إلى الإصدار 2.0.1 في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة للإصدارات من 0.8.0 إلى 0.12.0 من io.modelcontextprotocol.sdk:mcp.