CVE-2026-109527 in Python SDK
Zusammenfassung
von VulDB • 15.10.2026
Das Model Context Protocol Python SDK ist das offizielle Python-SDK für Server und Clients des Model Context Protocol. In den Versionen von mcp vor 1.29.1 sowie in den Versionen von 2.0.0a1 bis 2.0.1 puffert der Streamable HTTP-Sitzungsmanager, die SSE-Nachrichtenendstelle (SSE message endpoint) und die OAuth-Autorisierungsserver-Routen vollständige HTTP-Anforderungstexte ohne Durchsetzung einer maximalen Größe. Ein nicht authentifizierter Remote-Client, der eine betroffene Endstelle erreichen kann, kann einen großen deklarierten oder gestreamten Anforderungstext senden, der im Prozessspeicher ein Vielfaches der Textgröße verbraucht und den Speicher wiederholt erschöpfen oder den Server beenden kann. Stdio-only-Server (nur über Standard-Eingabe/Ausgabe verfügbare Server) und Bereitstellungen mit einem effektiven begrenzenden Request-Size-Limit upstream sind nicht betroffen, und Anwendungen, die StreamableHTTPServerTransport direkt verwenden, bleiben dafür verantwortlich, ihre eigenen Limits durchzusetzen. Die standardmäßigen SDK-Serveranwendungen und Sitzungsmanager wurden in den Versionen 1.29.1 und 2.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.