CVE-2026-108395

Nome do Software Vulnerável e Versões Afetadas io.modelcontextprotocol.sdk:mcp versões 0.8.0 through 0.12.0 io.modelcontextprotocol.sdk:mcp-core versões 0.13.0 through 0.18.3 io.modelcontextprotocol.sdk:mcp-core versões 1.0.0 through 1.1.3 io.modelcontextprotocol.sdk:mcp-core versões 2.0.0-M1 through 2.0.0

Description Os transportes de servidor baseados em Servlet SSE, Streamable HTTP e Stateless leem o corpo de uma requisição HTTP na memória sem impor um tamanho máximo. Um cliente remoto não autenticado pode transmitir um corpo POST arbitrariamente grande, inclusive com codificação de transferência fragmentada (chunked transfer encoding), até que o heap do processo Java seja esgotado e o sistema fique indisponível. A autenticação, a validação de Origem ou Host, ou um limite de tamanho de requisição upstream podem rejeitar a requisição antes da leitura vulnerável.

Recommendations Atualizar io.modelcontextprotocol.sdk:mcp-core para a versão 0.18.4 Atualizar io.modelcontextprotocol.sdk:mcp-core para a versão 1.1.4 Atualizar io.modelcontextprotocol.sdk:mcp-core para a versão 2.0.1 No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade para as versões 0.8.0 through 0.12.0 do io.modelcontextprotocol.sdk:mcp.