Apa yang terjadi
Mode HTTP server MCP memproses permintaan POST /mcp tanpa autentikasi tanpa batas kesalahan lokal permintaan: satu badan JSON malformed melempar SyntaxError yang mematikan proses Node.js. Cacat pendamping mengakumulasi setiap chunk badan permintaan dalam Buffer[] tanpa batas kumulatif, dan yang lain menggunakan satu StreamableHTTPServerTransport stateful untuk semua klien.
Mengapa penting
Server MCP dimanfaatkan oleh agen LLM dan dapat diekspos di jaringan. DoS jarak jauh tanpa autentikasi pada satu permintaan membuat layanan MCP tidak tersedia bagi agen mana pun yang bergantung padanya, dan masalah penggunaan ulang transport dapat membocorkan konteks status/sesi antar klien.
Vektor serangan
Klien jarak jauh tanpa autentikasi mengirim satu badan POST /mcp JSON malformed yang memunculkan SyntaxError yang tidak tertangani, menghentikan proses Node.js dan membuat layanan MCP offline sampai supervisor eksternal me-restart-nya. Cacat terkait memungkinkan akumulasi badan tanpa batas dan kebocoran status lintas-klien melalui transport bersama.
Sistem yang terdampak
@tsparticles/mcp-server < 4.3.1 (crash / akumulasi badan); < 4.3.2 (penggunaan ulang transport)
Mitigasi
Tingkatkan @tsparticles/mcp-server ke >=4.3.1 (dan >=4.3.2 untuk penggunaan ulang transport); lihat commit perbaikan dan advisory GitHub.