CVE-2026-108859highCWE-770

CVE-2026-108859: falha de alta gravidade em mark3labs mcp-go

mcp-go through 1.2.1 Denial of Service via Unbounded POST Body Buffering

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mcp-go

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 0.5%
mcp-go through 1.2.1 contains a denial of service vulnerability in StreamableHTTPServer.ServeHTTP that allows remote unauthenticated attackers to exhaust memory by sending oversized POST bodies. Attackers can send arbitrarily large or many concurrent POST requests, read fully via io.ReadAll before validation, to degrade or OOM-kill the server process.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Produtos afetados
mark3labs · mcp-go
CVEs relacionadas — mark3labs mcp-go

No mesmo produto, das mais perigosas para as menos.

CVE-2026-81092HIGHmcp-go before 0.56.0 Missing Host Header Validation Enables DNS RebindingEPSS 0.2%CVE-2026-123272MEDIUMmcp-go before v1.2.1 Origin Validation Error via Unvalidated Well-Known Protected Resource MetadataEPSS 0.2%