Към съдържанието
Търсене

CVE-2026-59951: modelcontextprotocol python-sdk, отказ на услуга

6.9

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The MCP Python SDK, called mcp on PyPI, is a Python implementation of the Model Context Protocol (MCP). From 1.8.0 until 1.30.0 and 2.2.0, stateful Streamable HTTP servers, including FastMCP, MCPServer, Server.streamable_http_app(), and StreamableHTTPSessionManager, retain session entries without an idle expiration or aggregate session-count limit. DELETE, refused opening requests, and completed sessions do not reliably discard their entries, and each entry can retain parsed initialize parameters. A client that can reach the endpoint can therefore create ordinary short requests that grow server memory without bound until restart. Stateless HTTP, stdio, and SSE transports are not affected. This issue is fixed in versions 1.30.0 and 2.2.0.

Засегнати продукти

  • modelcontextprotocol python-sdk: >= 1.8.0, < 1.30.0; >= 2.0.0, < 2.2.0

Вид слабост

История

  • 14 октомври 2026 Публикувано

Други уязвимости в modelcontextprotocol python-sdk

Първоизточници

CVE-2026-59951: modelcontextprotocol python-sdk, отказ на услуга | freedomonline.bg