مكتبة tsParticles: التخزين المؤقت لجسم طلب HTTP غير المحدود في @tsparticles/mcp-server يؤدي إلى حجب الخدمة عن بُعد

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

مكتبة tsParticles هي مكتبة TypeScript لإنشاء رسوم متحركة للجسيمات قابلة للتخصيص بشكل كبير. قبل الإصدار 4.3.1، يقبل وضع HTTP الخاص بـ @tsparticles/mcp-server طلبات POST /mcp دون مصادقة في integrations/mcp-server/src/index.ts ويقوم بتجميع كل جزء من جسم الطلب في مصفوفة Buffer[] دون حد للحجم التراكمي قبل دمج المخزن المؤقت وتحليل JSON. يمكن لمهاجم عن بُعد بث جسم بحجم عشوائي لاستنفاد ذاكرة عملية Node.js وإنهاء الخدمة، بما في ذلك في تكوين Docker الرسمي الذي يكشف وضع HTTP على العنوان 0.0.0.0:3000. لا تأثر السرية والسلامة بهذه المشكلة. تم إصلاح هذه المشكلة في الإصدار 4.3.1.

المعالجة

1. أحصِ جميع نشرات tsparticles tsparticles، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/tsparticles/tsparticles/security/advisories/GHSA-447x-qqwf-m7xq
• مرجعhttps://github.com/tsparticles/tsparticles/pull/5875
• مرجعhttps://github.com/tsparticles/tsparticles/commit/25fb70e7f527a91568adaef576570289083f243b
• مرجعhttps://github.com/tsparticles/tsparticles/commit/7b3a9488d4201fe9ddd5fec05f4a2ae65d3627ea
• مرجعhttps://github.com/tsparticles/tsparticles/releases/tag/v4.3.1