CVE-2026-0621

WysokieCVSS 7.5

Opublikowano: 05/01/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 15/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Podatność ReDoS w bibliotece MCP TypeScript SDK od Anthropic (wersje do 1.25.1 włącznie) występuje w klasie UriTemplate podczas przetwarzania wzorców tablicowych RFC 6570. Dynamicznie generowane wyrażenie regularne zawiera zagnieżdżone kwantyfikatory, które mogą prowadzić do katastroficznego cofania się na specjalnie spreparowanych danych wejściowych, powodując nadmierne zużycie CPU.

Ocena ryzyka

Atakujący może wysłać złośliwy URI, który sprawi, że proces Node.js stanie się nieodpowiedzialny, prowadząc do odmowy usługi (DoS) i potencjalnego przerwania działania aplikacji.

Rekomendacja

Należy natychmiast zaktualizować bibliotekę MCP TypeScript SDK do wersji nowszej niż 1.25.1, która zawiera poprawkę eliminującą podatność ReDoS.

Inne podatności w MCP TypeScript SDK

CVE-2026-25536Wysokie
Podatność w MCP TypeScript SDK umożliwia wyciek danych odpowiedzi między klientami, gdy pojedyncza instancja serwera i transportu jest współdzielona przez wiele połączeń klienckich. Problem występuje w wersjach od 1.10.0 do 1.25.3, szczególnie w bezstanowych wdrożeniach StreamableHTTPServerTransport.

Oryginalny opis (angielski, źródło NVD)

Anthropic's MCP TypeScript SDK versions up to and including 1.25.1 contain a regular expression denial of service (ReDoS) vulnerability in the UriTemplate class when processing RFC 6570 exploded array patterns. The dynamically generated regular expression used during URI matching contains nested quantifiers that can trigger catastrophic backtracking on specially crafted inputs, resulting in excessive CPU consumption. An attacker can exploit this by supplying a malicious URI that causes the Node.js process to become unresponsive, leading to a denial of service.