CVE-2026-108859highCWE-770

CVE-2026-108859: fallo de gravedad alta en mark3labs mcp-go

mcp-go through 1.2.1 Denial of Service via Unbounded POST Body Buffering

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear mcp-go

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.7epss 0.5%
mcp-go through 1.2.1 contains a denial of service vulnerability in StreamableHTTPServer.ServeHTTP that allows remote unauthenticated attackers to exhaust memory by sending oversized POST bodies. Attackers can send arbitrarily large or many concurrent POST requests, read fully via io.ReadAll before validation, to degrade or OOM-kill the server process.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Productos afectados
mark3labs · mcp-go
CVEs relacionadas — mark3labs mcp-go

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-81092HIGHmcp-go before 0.56.0 Missing Host Header Validation Enables DNS RebindingEPSS 0.2%CVE-2026-123272MEDIUMmcp-go before v1.2.1 Origin Validation Error via Unvalidated Well-Known Protected Resource MetadataEPSS 0.2%