MCP TypeScript SDK 单请求内存耗尽漏洞披露

CVE-2026-111768 披露 Model Context Protocol TypeScript SDK 的 HTTP 服务器存在内存耗尽漏洞，CVSS 7.5 High：一条远程、无需登录的请求，体积在默认 4 MiB 限制内，却含足够多的数组元素或对象键，可在验证阶段耗尽内存并以 JavaScript 堆耗尽终止进程。 影响 @modelcontextprotocol/sdk 1.3.0 至 1.31.0 与 @modelcontextprotocol/server 2.0.0 至 2.2.0 中 HTTP 传输可被不完全信任客户端访问的场景；仅用 stdio 的服务器不暴露该 HTTP 请求路径，若应用在 SDK 处理前完成认证则需凭据。 披露方称，仅升级不足以启用新的验证上限，运维方须同时配置工具输入元素上限与合适的请求体大小限制。

AI 根据报道生成 · 53 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。