Veille sécuritéFrontend
P3Élevée
La validation d’une requête HTTP n’impose pas de limite au nombre d’éléments de tableaux et de clés d’objets, ce qui peut épuiser la mémoire du serveur. Mettre à niveau le SDK ou le serveur, définir maxToolInputElements et limiter également la taille du corps de requête.
JavaScriptTypeScript
IdentifiantCVE-2026-111768
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif@modelcontextprotocol/sdk 1.32.0 ; @modelcontextprotocol/server 2.3.0
Analyse technique
Le problème concerne les serveurs accessibles par HTTP à des clients non entièrement fiables ; les serveurs utilisant uniquement stdio ne sont pas concernés. Après mise à niveau, maxToolInputElements doit être configuré, car il est désactivé par défaut.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-20T20:06:35Z, dans la période demandée.
ImpactUne seule requête HTTP peut épuiser la mémoire et provoquer l’arrêt du processus serveur.
Versions affectées@modelcontextprotocol/sdk >= 1.3.0 et < 1.32.0 ; @modelcontextprotocol/server >= 2.0.0 et < 2.3.0
Version corrigée@modelcontextprotocol/sdk 1.32.0 ; @modelcontextprotocol/server 2.3.0
ContournementRéduire la limite de taille du corps de requête ; si une mise à niveau n’est pas possible, appliquer cette mesure au niveau du proxy ou du parseur HTTP.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-20T20:06:35Z
Mise à jour2026-10-20T20:06:38Z
Action recommandée
Mettre à niveau vers les versions indiquées, configurer maxToolInputElements et fixer une limite de taille du corps de requête adaptée aux besoins.
Sources
Priorisation DFS : P3 · 1 source(s).