CVE-2026-108395 in Java SDK
Riassunto
di VulDB • 15/10/2026
Il Model Context Protocol Java SDK è l'SDK ufficiale per le implementazioni di server e client del Model Context Protocol. Dalle versioni 0.8.0 alla 0.12.0 dell'artefatto io.modelcontextprotocol.sdk:mcp, dalla 0.13.0 alla 0.18.3 e dalla 1.0.0 alla 1.1.3 di io.modelcontextprotocol.sdk:mcp-core, nonché dalle versioni mcp-core 2.0.0-M1 alla 2.0.0, i trasporti basati su Servlet per SSE (Server-Sent Events), Streamable HTTP e server stateless leggono il corpo della richiesta HTTP in memoria senza imporre una dimensione massima. Un client remoto non autenticato che riesce a raggiungere un trasporto interessato può inviare un corpo POST di dimensioni arbitrariamente elevate, anche utilizzando la codifica del trasferimento chunked, fino ad esaurire l'heap del processo Java e renderlo indisponibile (DoS). L'autenticazione, la convalida dell'origine o dell'host, oppure un limite alla dimensione della richiesta a monte possono bloccare la richiesta prima che avvenga la lettura vulnerabile. Le versioni mantenute di mcp-core sono corrette nelle versioni 0.18.4, 1.1.4 e 2.0.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.