CVE-2026-53965

MCP PHP SDK (Composer paketi mcp/sdk) PHP üçün rəsmi Model Context Protocol SDK-dır. 0.5.0 və 0.7.0 versiyaları arasında HTTP client transportu Server-Sent Events cavab axınını inkremental olaraq oxuyur və hər bir hissəni yuxarı limiti olmayan yaddaş daxili buferə əlavə edir. Bufer yalnız SSE hadisə ayırıcısı olan ikiqat yeni sətir tapıldıqda təmizlənir, buna görə də ayırıcı göndərmədən cavab baytlarını axıdan uzaqdakı MCP serveri buferin limitsiz böyüməsinə səbəb olur. Müştərinin HTTP transportu vasitəsilə qoşulduğu zərərli, kompromisə uğramış və ya "man-in-the-middle" tərəfindən idarə olunan server bundan istifadə edərək müştəri prosesinin yaddaşını tükəndirə bilər ki, bu da kritik bölmə xətasına və ya ƏMƏL-in yaddaş çatışmazlığına görə prosesi dayandırmasına (out-of-memory kill) səbəb olaraq MCP müştərisi üçün xidmətdən imtinaya yol açır. Problem etibarsız server son nöqtəsinə qarşı HttpTransport istifadə edən bütün müştərilərə təsir edir və bağlantının qurulmasından başqa autentifikasiya və ya istifadəçi qarşılıqlılığı tələb etmir. Bu problem 0.7.1 versiyasında düzəldilmişdir.