CVE-2026-111768

Nome do Software Vulnerável e Versões Afetadas @modelcontextprotocol/sdk versões 1.3.0 até 1.31.0 @modelcontextprotocol/server versões 2.0.0 até 2.2.0

Description Servidores HTTP não impõem um limite ao número de elementos de array e chaves de objeto validados em uma única requisição. Um invasor pode enviar uma requisição dentro do limite padrão de 4 MiB contendo uma carga de validação grande o suficiente para causar exaustão do heap do JavaScript, levando ao encerramento do processo. Este problema afeta principalmente ferramentas que aceitam arrays ou registros e não impacta servidores apenas stdio. Nenhuma credencial é necessária para a exploração, a menos que a aplicação implemente autenticação antes do processamento do SDK.

Recommendations Para as versões do @modelcontextprotocol/sdk 1.3.0 até 1.31.0, atualize para a versão 1.32.0 ou posterior, configure a opção maxToolInputElements no McpServer para um valor ligeiramente acima da maior entrada necessária e reduza o maxRequestBodySize no transporte ou no createMcpHandler(). Para as versões do @modelcontextprotocol/server 2.0.0 até 2.2.0, atualize para a versão 2.3.0 ou posterior, configure a opção maxToolInputElements no McpServer para um valor ligeiramente acima da maior entrada necessária e reduza o maxRequestBodySize no transporte ou no createMcpHandler(). Como mitigação para versões anteriores ao @modelcontextprotocol/sdk 1.30.1 ou @modelcontextprotocol/server 2.1.0, utilize um proxy reverso para limitar o tamanho da requisição.