Veille sécuritéBackend & données
P3Élevée
Avant la version 4.3.1, le serveur HTTP de @tsparticles/mcp-server acceptait des requêtes POST /mcp sans authentification et accumulait sans limite leur corps en mémoire, permettant à distance d’épuiser la mémoire du processus Node.js et d’interrompre le service. La faille a été publiée le 2026-11-05 à 00:18:07 +02:00 ; mettre à jour vers la version 4.3.1.
Node.jsTypeScript
IdentifiantCVE-2026-63655
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.3.1
Source : NVD — CVE-2026-63655
Analyse technique
Le gestionnaire HTTP accumule les fragments du corps de la requête dans un tableau de Buffer sans limite cumulée avant Buffer.concat et JSON.parse. L’impact concerne la disponibilité ; la confidentialité et l’intégrité ne sont pas affectées.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-04T22:18:07.350Z, soit le 2026-11-05 à 00:18:07 +02:00, dans la période retenue ; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn attaquant distant non authentifié peut épuiser la mémoire du processus Node.js et rendre le service indisponible.
Versions affectéesVersions antérieures à 4.3.1
Version corrigée4.3.1
ContournementSi la mise à jour est différée, désactiver le mode HTTP ou restreindre l’accès réseau au point de terminaison concerné.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
EPSS0,43% · percentile 37,5%
Publication2026-11-05T00:18:07+02:00
Mise à jour2026-11-05T23:18:52+02:00
Action recommandée
Mettre à jour @tsparticles/mcp-server vers la version 4.3.1.
Sources
Priorisation DFS : P3 · 1 source(s).