В MCP TypeScript SDK нашли DoS через размер тела запроса и батчи JSON-RPC

В MCP TypeScript SDK обнаружена уязвимость GHSA-f897-62hf-6gxq с оценкой CVSS 7.5: HTTP-сервер не ограничивает размер POST-запросов и длину батчей JSON-RPC 2.0, а middleware для Express и Hono читают тело до проверки Host и Origin. Неаутентифицированный атакующий может вызвать OOM или занять event loop Node.js. Исправления вышли в версиях 1.30.1 и 2.1.0/2.0.1 с лимитами 4 МиБ и 100 сообщений.

• CVSS 7.5, CWE-400: неаутентифицированный DoS через HTTP POST
• Затронуты sdk >=1.10.0 <1.30.1 и пакеты server, node, hono версии 2.0.0
• Исправления: 1.30.1, server и node 2.1.0, hono 2.0.1
• Новые лимиты по умолчанию: тело 4 МиБ, батч JSON-RPC 100 сообщений