@Modelcontextprotocol/Sdk
Servidores HTTP não impõem um limite ao número de elementos de array e chaves de objeto validados em uma única requisição. Um invasor pode enviar uma requisição dentro do limite padrão de 4 MiB contendo uma carga de validação grande o suficiente para causar exaustão do heap do JavaScript, levando ao encerramento do processo. Este problema afeta principalmente ferramentas que aceitam arrays ou registros e não impacta servidores apenas stdio. Nenhuma credencial é necessária para a exploração, a menos que a aplicação implemente autenticação antes do processamento do SDK.