PT-2026-66665
CVE-2026-14539
·
تاريخ النشر
2026-07-31
·
تاريخ التحديث
2026-08-08
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Google mcp-toolbox الأقدم من 1.4.1
الوصف
تسمح مشكلة في تخصيص الموارد في مكون معالج HTTP لمهاجم غير مصدق الهوية بالتسبب في هجوم رفض الخدمة (DoS). يقوم معالج نقطة النهاية ’/mcp‘ بقراءة الحمولات الواردة مباشرةً في ذاكرة النظام باستخدام حلقة مخزن مؤقت غير مقيدة
io.ReadAll() دون تطبيق قيود دفاعية مثل http.MaxBytesReader أو فرض Content-Length قبل القراءة. يمكن للمهاجم استنزاف ذاكرة المضيف المتاحة عن طريق إرسال نص طلب HTTP واحد ضخم حتى يتم إنهاء العملية بخطأ نفاد الذاكرة (OOM)، والذي يحدث عندما يتعذر على النظام تخصيص المزيد من الذاكرة للعملية.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.4.0.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/mcp‘ على المصادر الموثوقة فقط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾