Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-400

CVE-2026-63655

tsParticles @tsparticles/mcp-server HTTP modunda sınırsız istek gövdesi tamponlama (DoS)

@tsparticles mcp-servertsparticles

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sunucunun uzaktan ve kimlik doğrulaması olmadan çökertilmesine yol açabilir; hizmetin kesintiye uğraması iş sürekliliğini etkileyebilir. Veri sızıntısı veya veri değişikliği riski düşüktür, ancak etkilenen sistemlerin hızlı güncellenmesi önerilir.

ÖzetTürkçe

tsParticles kütüphanesinin @tsparticles/mcp-server bileşeninin HTTP modunda, kimlik doğrulaması gerektirmeyen POST /mcp istekleri gelen gövde parçalarını toplam boyut sınırı olmadan belleğe biriktirmektedir. Sürüm 4.3.1 öncesi etkilenmektedir. Varsayılan Docker yapılandırmasında HTTP modu 0.0.0.0:3000 adresinde dışa açıldığından bu durum özellikle risklidir.

Saldırgan ne yapabilir?

Saldırgan, çok büyük bir istek gövdesi göndererek Node.js süreci belleğini tüketebilir ve servisin çökmesine ya da durmasına neden olabilir. Gizlilik ve bütünlük etkilenmez; etki erişilebilirlik kaybıyla sınırlıdır.

Kaynaktaki açıklama (İngilizce)

tsParticles is a TypeScript library for creating highly customizable particle animations. Prior to 4.3.1, the HTTP mode of @tsparticles/mcp-server accepts unauthenticated POST /mcp requests in integrations/mcp-server/src/index.ts and accumulates every request-body chunk in a Buffer[] without a cumulative size limit before Buffer.concat and JSON.parse. A remote attacker can stream an arbitrarily large body to exhaust Node.js process memory and terminate the service, including in the official Docker configuration that exposes HTTP mode on 0.0.0.0:3000. Confidentiality and integrity are not affected. This issue is fixed in version 4.3.1.

Ne yapmalı?

  1. @tsparticles/mcp-server ve tsparticles paketlerini 4.3.1 veya üzeri bir sürüme yükseltin. Üretici
  2. Güncelleme sonrasında servisi yeniden başlatın ve HTTP modunun çalıştığı tüm kapsayıcı ya da dağıtımların yeni sürümü kullandığını doğrulayın. Genel öneri
  3. Güncelleme yapılamıyorsa HTTP modunu kullanılmayan bir ağ arayüzüne kısıtlayın veya MCP uç noktasına erişimi bir ters proxy ya da güvenlik duvarı ile sınırlandırın. Genel öneri

Ek önlemler

  • Sunucunun bellek kullanımını ve yeniden başlatma sayısını izleyerek ani bellek artışlarını ve çökmeleri takip edin. Genel öneri
  • Ters proxy katmanında istek gövdesi boyutuna üst sınır koyun ve bu sınırı aşan istekleri reddedin. Genel öneri
  • Servisi herkese açık bir arayüze bağlamak yerine yalnızca gerekli ağlardan erişilebilir tutun. Genel öneri

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
@tsparticles mcp-server < 4.3.1 4.3.1
tsparticles < 4.3.1 4.3.1

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.