CVE-2026-53965

Nome do Software Vulnerável e Versões Afetadas mcp/sdk versões 0.5.0 a 0.7.0

Description O transporte de cliente HTTP no MCP PHP SDK lê um fluxo de resposta de Server-Sent Events (SSE) incrementalmente e anexa os dados a um buffer na memória sseBuffer sem um limite superior. O buffer é limpo apenas quando um delimitador de evento SSE (uma quebra de linha dupla) é encontrado. Um servidor malicioso ou comprometido pode transmitir dados sem enviar esse delimitador, fazendo com que o buffer cresça indefinidamente. Isso leva ao esgotamento da memória, desencadeando um erro fatal de alocação ou a interrupção do processo pelo sistema operacional (OOM kill), resultando em negação de serviço para o cliente MCP. Este problema afeta qualquer cliente que utilize HttpTransport contra um endpoint de servidor não confiável e não requer autenticação ou interação do usuário além de iniciar a conexão. A vulnerabilidade está localizada na função processSSEStream() dentro da classe HttpTransport.

Recommendations Atualize o mcp/sdk para a versão 0.7.1. Como mitigação temporária, restrinja o uso de HttpTransport ao se conectar a endpoints de servidores não confiáveis.