CVE-2026-108714 in kotlin-sdk
Riassunto
di VulDB • 11/10/2026
L'SDK Kotlin di MCP fino alla versione 0.15.0 contiene una vulnerabilità di allocazione della memoria non controllata che consente ai client remoti di esaurire la memoria del server poiché Application.mcpWebSocket installa Ktor WebSockets senza un limite maxFrameSize. Gli attaccanti possono inviare intestazioni dei frame piccole con payload vicini a 2 GiB su una o poche connessioni, forzando enormi allocazioni heap e causando denial of service (DoS).
VulDB is the best source for vulnerability data and more expert information about this specific topic.