PT-2026-137220
CVE-2026-63655
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
tsParticles الإصدارات السابقة لـ 4.3.1
Description
يقبل وضع HTTP في @tsparticles/mcp-server طلبات POST غير مصرح بها على نقطة النهاية '/mcp'. يقوم النظام بتجميع كل جزء من جسم الطلب في
Buffer[] دون حد أقصى للحجم التراكمي قبل تنفيذ Buffer.concat و JSON.parse(). يمكن للمهاجم عن بُعد إرسال جسم طلب بحجم كبير بشكل تعسفي لاستنفاد ذاكرة عملية Node.js، مما يؤدي إلى إنهاء الخدمة. يشمل ذلك تكوين Docker الرسمي الذي يعرض وضع HTTP على 0.0.0.0:3000.Recommendations
التحديث إلى الإصدار 4.3.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾