CVE-2026-108698 in hyper-mcp
الملخص
بحسب VulDB • 11/10/2026
يحتوي hyper-mcp حتى الإصدار 0.8.3 على ثغرة لتجاوز التحقق من التوقيع في دالة load_wasm الموجودة في src/wasm/oci.rs، حيث يتم التحقق من توقيع Cosign لعلامة (tag) تم حلها بشكل منفصل بدلاً من المانيفست المُحمّل. يمكن للمهاجمين الذين يتحكمون في استجابات المستودع الخاصة بالعلامة تقديم مانيفست ضار غير موقّع إلى المحمِّل ومانيفست موقع إليه لدى Cosign، مما يؤدي إلى تنفيذ إضافات WebAssembly غير موقعة مع امتيازات المضيف المُعدّة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.