CVE-2026-39313 in mcp-framework
요약
\~에 의해 VulDB • 2026. 06. 22.
mcp-framework는 Model Context Protocol (MCP) 서버를 구축하기 위한 프레임워크입니다. 버전 0.2.21 및 그 이하 버전에서 HTTP 트랜스포트의 readRequestBody() 함수는 크기 제한 없이 요청 본문 청크들을 문자열로 연결합니다. maxMessageSize 구성 값이 존재하지만, 이는 readRequestBody() 내에서 전혀 적용되지 않습니다. 원격 인증 없는 공격자는 /mcp 엔드포인트에 단일 대용량 POST 요청을 전송하여 mcp-framework HTTP 서버를 충돌시킬 수 있으며, 이로 인해 메모리 고갈과 서비스 거부(Denial of Service)가 발생합니다. 이 문제는 버전 0.2.22에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.