CVE-2026-109527

Nome do Software Vulnerável e Versões Afetadas mcp versões anteriores a 1.29.1 mcp versões 2.0.0a1 até 2.0.1

Description O gerenciador de sessão HTTP Streamable, o endpoint de mensagem SSE e as rotas do servidor de autorização OAuth fazem o buffer de corpos de requisição HTTP completos sem impor um tamanho máximo. Um cliente remoto não autenticado pode enviar um corpo de requisição declarado ou transmitido de grande porte que consome várias vezes o tamanho do corpo na memória do processo, podendo exaurir a memória ou encerrar o servidor. Servidores apenas Stdio e implantações com um limite de tamanho de requisição upstream eficaz não são afetados. Aplicações que utilizam StreamableHTTPServerTransport diretamente são responsáveis por impor seus próprios limites.

Recommendations Atualizar para a versão 1.29.1. Atualizar para a versão 2.1.0.