漏洞总结：mcp-framework 中的无限制内存分配导致拒绝服务 漏洞概述 漏洞名称：Unbounded memory allocation in readRequestBody allows denial of service via HTTP transport CVE ID：CVE-2025-3913 CVSS 评分：3.1: 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) 影响版本： <= 0.2.21 修复版本：None 漏洞类型：CWE-770: Allocation of Resources Without Limits or Throttling 影响范围 影响组件： HTTP 服务器 攻击方式：通过发送单个大型 HTTP POST 请求（如 50MB payload）导致服务器内存耗尽并崩溃。 前提条件： - 无需身份验证（auth 是可选的，默认不启用）。 - 存在 配置项（默认 4MB），但在 函数中未被强制执行，造成安全假象。 受影响应用：所有使用 HTTPStreamTransport 的应用（每周约 60,000 次 npm 下载）。 漏洞详情与 POC 漏洞文件： , lines 224-240 漏洞代码： POC 测试数据： - 使用 50MB POST payload 进行测试，RSS 内存增长显著（+14MB 至 +197MB），时间 32ms 至 46ms，结果均为 Vulnerable。 - 可复现性：5/5 (100%) 修复方案 建议修复：在 函数中强制执行 配置。 修复后代码： 披露时间线 报告人：Raza Sharif, CyberSecAI Ltd 披露策略：遵循协调披露，请求 90 天公开披露窗口。