CVE-2026-63119
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia wyczerpanie pamięci procesu poprzez wysyłanie danych bez znaku nowej linii w transporcie StdioTransport i kliencie Stdio. Funkcja IO#gets jest używana bez ograniczenia liczby bajtów.
Ocena ryzyka
Atakujący może spowodować awarię serwera MCP z powodu wyczerpania pamięci, co prowadzi do przerwy w działaniu usługi.
Rekomendacja
Należy zaktualizować MCP Ruby SDK do wersji 0.23.0 lub nowszej.
Inne podatności w MCP Ruby SDK
Zobacz wszystkie- CVE-2026-67432Wysokie
MCP Ruby SDK przed wersją 0.23.0 w komponencie StreamableHTTPTransport odczytuje całe ciało żądania JSON-RPC POST bez ograniczenia rozmiaru, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na wyczerpanie pamięci procesu.
- CVE-2026-67431Wysokie
MCP Ruby SDK przed wersją 0.23.0 nie wiąże identyfikatora sesji z jej właścicielem, co pozwala atakującemu z przechwyconym ID sesji na wysyłanie żądań tools/call w kontekście ofiary.
- CVE-2026-67430Średnie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia wyczerpanie pamięci procesu poprzez nieograniczone tworzenie sesji ServerSession w transporcie StreamableHTTPTransport. Sesje nie wygasają domyślnie, a powtarzane żądania initialize powodują narastanie obiektów.
- CVE-2026-63118Średnie
Podatność w MCP Ruby SDK przed wersją 0.23.0 umożliwia atak DNS rebinding poprzez brak walidacji nagłówków Host i Origin w transporcie StreamableHTTPTransport. Złośliwa strona internetowa może uzyskać dostęp do lokalnego serwera MCP i wywołać narzędzia.
Oryginalny opis (angielski, źródło NVD)
MCP Ruby SDK is the official Ruby SDK for Model Context Protocol servers and clients. Prior to 0.23.0, MCP::Server::Transports::StdioTransport and MCP::Client::Stdio in the mcp gem use IO#gets without a byte limit, allowing a peer that sends data without a newline to exhaust process memory. This issue is fixed in version 0.23.0.