tsParticles: A single anonymous MCP session can monopolize HTTP mode and deny new clients

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

tsParticles is a TypeScript library for creating highly customizable particle animations. Prior to 4.3.2, the HTTP mode of @tsparticles/mcp-server reuses one stateful StreamableHTTPServerTransport for every client. An unauthenticated client that sends the first initialize request without an mcp-session-id claims the shared transport state, causing later independent clients to receive Server already initialized and preventing them from establishing sessions until the process restarts. The first client's session remains functional. This issue is fixed in version 4.3.2.

Etkilenen sürümler2 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ticles/security/advisories/GHSA-h7c4-q426-7jh9 Diğer
• github.com/tsparticles/tsparticles/pull/5888 Diğer
• github.com/…ommit/d3b5672bd61bb847abfa21193c34eabf7aba6896 Diğer

Kayıt geçmişi

1. 5 Kas 2026 01:10Yayımlandı

İlgili açıklar

• 8,7 CVE-2026-76892tsParticles MCP sunucusu: Hatalı JSON isteği HTTP sürecini sonlandırabiliyor
• 7,5 CVE-2026-76826tsParticles sürüm notu oluşturma ssürecinde kabuk komutu çalıştırma açığı
• 7,5 CVE-2026-63655tsParticles @tsparticles/mcp-server HTTP modunda sınırsız istek gövdesi tamponlama (DoS)
• 7,5 CVE-2026-77299Regexp2 kütüphanesinde sınırsız bellek tüketimi (büyük {m} niceleyici ile)
• 7,5 CVE-2026-82965Keycloak SAML SOAP uç noktasında sınırsız XML ayrıştırma nedeniyle hizmet reddi
• 7,7 CVE-2026-49407OpenHuman dikte WebSocket uç noktasında kimlik doğrulama eksikliği ve sınırsız bellek büyümesi