AnthropicのMCP TypeScript SDKバージョン1.25.1まで（含む）には、UriTemplateクラスでRFC 6570の展開配列パターンを処理する際に正規表現によるサービス拒否（ReDoS）の脆弱性が存在します。URIマッチング中に動的に生成される正規表現にはネストされた量指定子が含まれており、特別に細工された入力に対して壊滅的なバックトラッキングが発生し、過剰なCPU消費を引き起こす可能性があります。攻撃者は悪意のあるURIを提供することでNode.jsプロセスを応答不能にし、サービス拒否を引き起こすことができます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。