CVE-2026-53965

MCP PHP SDK (Composer paketi mcp/sdk), PHP için resmi Model Context Protocol SDK'sıdır. 0.5.0 ile 0.7.0 sürümleri arasında, HTTP istemci taşıma katmanı bir Server-Sent Events yanıt akışını artımlı olarak okur ve her parçayı üst sınırı olmayan bellek içi bir arabellege ekler. Arabellek yalnızca bir SSE olay sınırlayıcısı olan çift yeni satır bulunduğunda boşaltılır; bu nedenle sınırlayıcıyı hiçbir zaman göndermeden yanıt baytlarını akıtan uzak bir MCP sunucusu, arabelleğin sınırsız büyümesine neden olur. İstemcinin HTTP taşıma katmanı üzerinden bağlandığı kötü niyetli, ele geçirilmiş veya ortadaki adam saldırganının kontrolündeki bir sunucu bunu, istemci sürecinin belleğini tüketmek, ölümcül bir ayırma hatasını veya işletim sisteminin bellek yetersizliği nedeniyle süreci sonlandırmasını tetiklemek ve MCP istemcisine hizmet reddi uygulamak için kullanabilir. Sorun, güvenilmeyen bir sunucu uç noktasına karşı HttpTransport kullanan her istemciyi etkiler ve bağlantının başlatılmasının ötesinde kimlik doğrulama veya kullanıcı etkileşimi gerektirmez. Bu sorun 0.7.1 sürümünde giderilmiştir.