Veille sécuritéBackend & données
P3Élevée
Une vulnérabilité affecte le Model Context Protocol Java SDK : certains transports serveur Servlet acceptent des corps HTTP sans limite de taille, ce qui peut épuiser la mémoire du processus. Les versions corrigées indiquées dans la fiche candidate sont 0.18.4, 1.1.4 et 2.0.1 pour les branches maintenues.
Java
IdentifiantCVE-2026-108395
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifmcp-core 0.18.4, 1.1.4 et 2.0.1
Source : NVD — CVE-2026-108395
Analyse technique
Un client distant non authentifié pouvant atteindre un transport affecté peut transmettre un corps POST arbitrairement volumineux, y compris en transfert chunked, jusqu’à l’épuisement du tas Java.
Impact, versions et correctif
Événement datéLa fiche candidate indique une publication NVD le 2026-10-14T18:17:27.370Z, soit le 2026-10-14T20:17:27.370+02:00, dans la période retenue.
ImpactDéni de service par épuisement de la mémoire du processus Java.
Versions affectéesmcp 0.8.0–0.12.0; mcp-core 0.13.0–0.18.3, 1.0.0–1.1.3 et 2.0.0-M1–2.0.0
Version corrigéemcp-core 0.18.4, 1.1.4 et 2.0.1
ContournementUne authentification, la validation de l’en-tête Origin ou Host, ou une limite de taille des requêtes en amont peut empêcher l’accès au corps vulnérable.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-14T20:17:27.370+02:00
Mise à jour2026-10-14T22:17:30.380+02:00
Action recommandée
Mettre à niveau vers une version corrigée de la branche utilisée et, jusque-là, appliquer une limite de taille des requêtes ou une protection équivalente en amont.
Sources
Priorisation DFS : P3 · 1 source(s).