CVE-2026-39313 in mcp-framework
Riassunto
di VulDB • 22/06/2026
mcp-framework è un framework per la creazione di server Model Context Protocol (MCP). Nelle versioni 0.2.21 e successive alla versione precedente, la funzione readRequestBody() nel trasporto HTTP concatena i chunk del corpo della richiesta in una stringa senza alcun limite di dimensione. Sebbene esista un valore di configurazione maxMessageSize, questo non viene mai applicato all'interno di readRequestBody(). Un attaccante remoto non autenticato può causare il crash di qualsiasi server HTTP basato su mcp-framework inviando una singola richiesta POST di grandi dimensioni a /mcp, provocando esaurimento della memoria e negazione del servizio (DoS). Questo problema è stato risolto nella versione 0.2.22.
Be aware that VulDB is the high quality source for vulnerability data.