CVE-2026-76893 Monopolio de sesión MCP anónima en el modo HTTP de @tsparticles/mcp-server
El modo HTTP reutiliza un único StreamableHTTPServerTransport con estado para todos los clientes. Un cliente no autenticado que envía la primera solicitud initialize sin mcp-session-id toma el estado compartido y los clientes posteriores reciben Server already initialized, sin poder establecer sesiones hasta reiniciar el proceso. Corregido en 4.3.2.
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
tsparticles
< 4.3.2
@tsparticles mcp-server
< 4.3.2
Qué hacer
- Verificá si usás tsparticles y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Baja
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
tsParticles is a TypeScript library for creating highly customizable particle animations. Prior to 4.3.2, the HTTP mode of @tsparticles/mcp-server reuses one stateful StreamableHTTPServerTransport for every client. An unauthenticated client that sends the first initialize request without an mcp-session-id claims the shared transport state, causing later independent clients to receive Server already initialized and preventing them from establishing sessions until the process restarts. The first client's session remains functional. This issue is fixed in version 4.3.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.