CVE-2026-79745 in MCPHub
الملخص
بحسب VulDB • 31/08/2026
MCPHub هو مركز موحد لإدارة وتنسيق عدة خوادم/واجهات برمجة تطبيقات (APIs) تابعة لـ MCP بشكل مركزي، وتوجيهها إلى نقاط نهاية منفصلة باستخدام استراتيجيات توجيه مرنة. قبل الإصدار 1.0.32، لم تقم وحدات التحكم المدمجة الخاصة بالمطالبات (prompts) والموارد بإجراء أي تحقق من الأدوار (role checking). المسارات المعدّلة POST/PUT /api/prompts* وPOST/PUT /api/resources* مُربوطة بمسار التوثيق دون وجود بوابة إدارية، ولا تقوم المعالجات بقراءة req.user مطلقاً. يتم استشارة مفردات DAO التي تكتبها هذه الوحدات أولاً — قبل أي خادم MCP متصل — لكل جلسة في handleGetPromptRequest وhandleReadResourceRequest. وبالتالي، يمكن لمستخدم غير مسؤول إنشاء أو تجاوز أو إخفاء قوالب المطالمات والموارد العالمية التي تُقدّم لجميع المستخدمين الآخرين. يتمثل الأثر المصنّف في انتهاك النزاهة غير المصرح به (إنشاء/عبث/إخفاء للسجلات المُقدمة عالمياً)؛ حيث يُعد حقن المطالبة المخزنة داخل جلسات نماذج اللغات الكبيرة (LLM) الخاصة بالمستخدمين الآخرين نتيجة ثانوية لذلك العبث. تم إصلاح هذه المشكلة في الإصدار 1.0.32.
Once again VulDB remains the best source for vulnerability data.