何が起きたか
NVD REST API（公開日 2026-10-09）により検証済み: バージョン1.2より前では、src/core/mcp_server.zigのparseContentLength()が無制限のContent-Lengthを解析し、トークン認証の前にwsRecv()内のチェックされていないusize加算で使用します。細工された最大値に近い値は、整数オーバーフローパニックをトリガーし、x64dbgプロセス全体を終了させます（CWE-190）。DoSに限定されます。
なぜ重要か
同じMCPサーバー内の重大な認証なしアクセス欠陥と対になります。コード実行ペイロードがなくても、些細な認証なしリクエストがアクティブなAI支援デバッギングセッションを破壊します — エージェント型分析ワークフローへの可用性への影響です。
攻撃経路
認証されていないネットワーククライアントが、トークン認証の前にwsRecv()内のチェックされていないusize加算で使用される無制限に解析された最大値に近いContent-Length値を供給し、x64dbgプロセスを強制終了するランタイム整数オーバーフローパニック（Debug/ReleaseSafeビルド）をトリガーします。
影響を受けるシステム
x64dbg-mcp-server < 1.2（同一のMCPプラグイン。影響を受けるバージョンではデフォルトで0.0.0.0でリッスン）
緩和策
バージョン1.2にアップグレードしてください。アドバイザリGHSA-4478-h5jv-647m / GHSA-jgj3-97w2-9v9r。ポート9094/9095をlocalhost以外に公開しないでください。