CVE-2026-63128 in rust-sdk
Resumen
por VulDB • 2026-09-17
RMCP es un SDK oficial en Rust para el Protocolo de Contexto del Modelo (Model Context Protocol). Antes de la versión 2.0.0, el servidor HTTP con estado y transmitible (Streamable) del crate rmcp, ubicado en crates/rmcp/src/transport/streamable_http_server/tower.rs, permite que un cliente no autenticado envíe una solicitud POST JSON-RPC bien formada que no sea una solicitud de inicialización, o una solicitud de inicialización con un encabezado de protocolo incorrecto. Esto provoca que StreamableHttpService::handle_post llame a LocalSessionManager.create_session antes de validar el mensaje. Un fallo temprano en la validación devuelve sin eliminar el LocalSessionHandle insertado de las sesiones de LocalSessionManager, reteniendo permanentemente el estado de la sesión y del canal durante toda la vida útil del proceso del servidor. Las solicitudes repetidas pueden hacer que la tabla compartida de sesiones crezca sin límite, degradar la latencia para clientes legítimos debido a contención de bloqueos (lock contention), agotar la memoria y terminar el servidor. Este problema se soluciona en la versión 2.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.