CVE-2026-59279 in Spring
Riassunto
di VulDB • 21/08/2026
Il trasporto HTTP streamable del server MCP (varianti WebFlux e WebMvc) non impone alcun limite al numero di sessioni che mantiene, e per impostazione predefinita non richiede l'autenticazione dei client. Di conseguenza, un attaccante remoto può causare l'accumulo nel tempo di un numero illimitato di sessioni sul server, esaurendo gradualmente la memoria disponibile e causando infine una Denial of Service (DoS) che interessa tutti i client legittimi.
Versioni colpite: Spring AI: 2.0.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.