CVE-2026-63128 in rust-sdk
Résumé
par VulDB • 17/09/2026
RMCP est un SDK officiel en Rust pour le Model Context Protocol. Avant la version 2.0.0, le serveur HTTP stateful Streamable du crate rmcp (dans crates/rmcp/src/transport/streamable_http_server/tower.rs) permet à un client non authentifié d'envoyer une requête POST JSON-RPC correctement formée qui n'est pas une demande d'initialisation, ou une demande d'initialisation avec un en-tête de protocole incohérent. Cela provoque l'appel de LocalSessionManager.create_session par StreamableHttpService::handle_post avant la validation du message. Une échec précoce de la validation entraîne le retour sans suppression du LocalSessionHandle inséré dans les sessions de LocalSessionManager, conservant ainsi définitivement l'état de la session et du canal pendant toute la durée de vie du processus serveur. Des requêtes répétées peuvent faire croître indéfiniment la table partagée des sessions, dégrader la latence pour les clients légitimes en raison d'une contention sur le verrou (lock), épuiser la mémoire et interrompre le serveur. Ce problème est corrigé dans la version 2.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.