CVE-2026-111768
Model Context Protocol TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation
CVSS 3.1Medium
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите @modelcontextprotocol/sdk до версии 1.32.0 или @modelcontextprotocol/server до версии 2.3.0, а также явно настройте лимит элементов входных данных инструментов и допустимый размер тела запроса.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Model Context Protocol TypeScript SDK обработка одного HTTP-запроса в пределах стандартного лимита размера может исчерпать оперативную память сервера. Это приводит к аварийному завершению процесса из-за переполнения кучи JavaScript.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
HTTP-серверы не ограничивали количество элементов массивов и ключей объектов при валидации полезной нагрузки запроса. Запрос в рамках стандартного лимита 4 МиБ, содержащий структуры с большим числом элементов или записей, способен исчерпать память кучи Node.js без необходимости аутентификации.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Аварийное завершение процесса HTTP-сервера из-за исчерпания памяти кучи JavaScript (отказ в обслуживании).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/security/advisories/GHSA-46jr-4wx8-v453
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/pull/2926
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/pull/2927
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/commit/6d8dbc6cb590edf766fcb66b636ca6b654e99c37
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/commit/fd26801b3b387742fe24a90ed4b275dd6072209f
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/releases/tag/1.32.0
- github.comhttps://github.com/modelcontextprotocol/typescript-sdk/releases/tag/@modelcontextprotocol/server@2.3.0
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-111768: Model Context Protocol TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation. URL: https://cve.futuretools.ru/cve/CVE-2026-111768
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_111768,
title = {{CVE-2026-111768: Model Context Protocol TypeScript SDK: One HTTP request within the default size limit could exhaust server memory during validation}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-111768}},
note = {Оперативный инженерный анализ киберугроз}
}