CVE-2026-0621
Açıklama
Anthropic'in MCP TypeScript SDK 1.25.1 ve önceki sürümleri, RFC 6570 patlatılmış dizi desenlerini işlerken UriTemplate sınıfında bir düzenli ifade hizmet reddi (ReDoS) zafiyeti içermektedir. URI eşleştirme sırasında kullanılan dinamik olarak oluşturulmuş düzenli ifade, özel olarak hazırlanmış girdilerde katastrofik geri izleme (catastrophic backtracking) tetikleyebilen iç içe nicelendiriciler içerir ve bu durum aşırı CPU tüketimine yol açar. Bir saldırgan, Node.js işleminin yanıt vermemesine neden olan kötü amaçlı bir URI sağlayarak bu durumu istismar edebilir ve hizmet reddine yol açabilir.
Nasıl düzeltilir
- @modelcontextprotocol/sdk1.25.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects mcp_typescript_sdk | v ≤ 1.25.1 | — |
| @modelcontextprotocol/sdknpm | 1.3.0 ≤ v < 1.25.2 | 1.25.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.