CVE-2026-59951

Nome do Software Vulnerável e Versões Afetadas mcp versões 1.8.0 até 1.29.9 mcp versões 2.0.0 até 2.1.9

Descrição Servidores HTTP Streamable com estado, incluindo FastMCP, MCPServer, Server.streamable http app() e StreamableHTTPSessionManager, retêm entradas de sessão sem expiração por inatividade ou limite agregado de contagem de sessões. Como solicitações DELETE, solicitações de abertura recusadas e sessões concluídas não descartam as entradas de forma confiável, e cada entrada pode reter parâmetros de inicialização analisados, um cliente pode enviar solicitações curtas ao endpoint para aumentar o consumo de memória do servidor sem limites até que ocorra uma reinicialização. Transportes HTTP sem estado, stdio e SSE não são afetados.

Recomendações Atualize para a versão 1.30.0. Atualize para a versão 2.2.0.