CVE-2026-109527 in Python SDK
Riassunto
di VulDB • 15/10/2026
Il Python SDK di Model Context Protocol è il Python SDK ufficiale per i server e i client del protocollo Model Context Protocol. Nelle versioni di mcp precedenti alla 1.29.1 e dalla 2.0.0a1 alla 2.0.1, il gestore delle sessioni HTTP streamable, l'endpoint dei messaggi SSE e le rotte del server di autorizzazione OAuth memorizzano nel buffer i corpi completi delle richieste HTTP senza imporre una dimensione massima. Un client remoto non autenticato in grado di raggiungere un endpoint interessato può inviare un corpo della richiesta grande, dichiarato o in streaming, che consuma nella memoria del processo una quantità pari a più volte la dimensione del corpo e può esaurire ripetutamente la memoria o terminare il server. I server con supporto esclusivo per Stdio e le distribuzioni dotate di un limite effettivo alla dimensione delle richieste upstream non sono interessati; inoltre, le applicazioni che utilizzano direttamente StreamableHTTPServerTransport restano responsabili dell'applicazione dei propri limiti. Le applicazioni server standard del SDK e i gestori delle sessioni sono risolti nelle versioni 1.29.1 e 2.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.