CVE-2026-63655
Açıklama
tsParticles, yüksek düzeyde özelleştirilebilir parçacık animasyonları oluşturmak için kullanılan bir TypeScript kütüphanesidir. 4.3.1 sürümünden önce, @tsparticles/mcp-server'ın HTTP modu, integrations/mcp-server/src/index.ts dosyasında kimlik doğrulaması yapılmamış POST /mcp isteklerini kabul etmekte ve her bir istek gövdesi parçasını, Buffer.concat ve JSON.parse işlemlerinden önce toplam boyut sınırı olmaksızın bir Buffer[] içinde biriktirmektedir. Uzak bir saldırgan, Node.js işlem belleğini tüketmek ve HTTP modunu 0.0.0.0:3000 üzerinde sunan resmi Docker yapılandırması da dahil olmak üzere hizmeti sonlandırmak için keyfi büyüklükte bir gövde akışı gönderebilir. Gizlilik ve bütünlük etkilenmemektedir. Bu sorun 4.3.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tsparticles tsparticles | < 4.3.1 | — |
| @tsparticles mcp-server | < 4.3.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.