CVE-2026-111768

اسم البرنامج المصاب والإصدارات المتأثرة @modelcontextprotocol/sdk الإصدارات من 1.3.0 إلى 1.31.0 @modelcontextprotocol/server الإصدارات من 2.0.0 إلى 2.2.0

Description لا تفرض خوادم HTTP حداً على عدد عناصر المصفوفات ومفاتيح الكائنات التي يتم التحقق من صحتها في الطلب الواحد. يمكن للمهاجم إرسال طلب ضمن حد الحجم الافتراضي البالغ 4 ميجابايت يحتوي على عبء عمل للتحقق من الصحة كبير بما يكفي للتسبب في استنفاد ذاكرة JavaScript heap، مما يؤدي إلى إنهاء العملية. تؤثر هذه المشكلة بشكل أساسي على الأدوات التي تقبل المصفوفات أو السجلات، ولا تؤثر على الخوادم التي تعمل بنظام stdio فقط. لا يلزم وجود بيانات اعتماد للاستغلال ما لم يكن التطبيق يفرض المصادقة قبل معالجة SDK.

Recommendations بالنسبة لإصدارات @modelcontextprotocol/sdk من 1.3.0 إلى 1.31.0، قم بالتحديث إلى الإصدار 1.32.0 أو أحدث، وقم بتعيين خيار maxToolInputElements في McpServer إلى قيمة أعلى قليلاً من أكبر إدخال مطلوب، وقم بخفض maxRequestBodySize في وسيلة النقل أو createMcpHandler(). بالنسبة لإصدارات @modelcontextprotocol/server من 2.0.0 إلى 2.2.0، قم بالتحديث إلى الإصدار 2.3.0 أو أحدث، وقم بتعيين خيار maxToolInputElements في McpServer إلى قيمة أعلى قليلاً من أكبر إدخال مطلوب، وقم بخفض maxRequestBodySize في وسيلة النقل أو createMcpHandler(). كإجراء تخفيفي للإصدارات السابقة لـ @modelcontextprotocol/sdk 1.30.1 أو @modelcontextprotocol/server 2.1.0، استخدم وكيل عكسي (reverse proxy) للحد من حجم الطلب.