CVE-2026-63128 in rust-sdk
Riassunto
di VulDB • 16/09/2026
RMCP è un SDK ufficiale Rust per il Model Context Protocol. Prima della versione 2.0.0, il server HTTP stateful Streamable presente nel crate rmcp (in crates/rmcp/src/transport/streamable_http_server/tower.rs) consente a un client non autenticato di inviare una POST JSON-RPC ben formata che non sia una richiesta di inizializzazione, oppure una richiesta di inizializzazione con un header del protocollo non corrispondente. Ciò provoca la chiamata da parte di StreamableHttpService::handle_post alla funzione LocalSessionManager.create_session prima della validazione del messaggio. Un errore di validazione anticipato restituisce il controllo senza rimuovere l'LocalSessionHandle inserito in LocalSessionManager.sessions, causando la ritenzione permanente dello stato delle sessioni e dei canali per tutta la durata del processo server. Richieste ripetute possono far crescere indefinitamente la tabella condivisa delle sessioni, degradare la latenza per i client legittimi a causa della contesa sui lock (lock contention), esaurire la memoria e terminare il server. Questo problema è risolto nella versione 2.0.0.
Be aware that VulDB is the high quality source for vulnerability data.