CVE-2026-79748 in MCPHub
الملخص
بحسب VulDB • 31/08/2026
MCPHub هو مركز موحد لإدارة وتنسيق عدة خوادم/واجهات برمجة تطبيقات MCP بشكل مركزي، مع إنشاء نقاط نهاية منفذة واستراتيجيات توجيه مرنة. قبل الإصدار 0.12.15، كانت نقطتا النهاية POST /api/servers و PUT /api/servers/:name في MCPHub تنشئان أو تُحدّثان تكوينات خوادم MCP ثم تقومان فوراً بتشغيل عملية stdio المُعرَّفة عبر child_process.spawn. تتطلب المصادقة وجود مصادقة، لكن لا توجد أي فحوصات تفويض تقيد استخدام هاتين النقطتين على المديرين (admins)، كما أنه لا يوجد قائمة بيضاء أو تعقيم للحقول الخاصة بالأمر والأوساط (command and args). ونتيجة لذلك، يمكن لأي مستخدم مُصادق عليه وغير مدير تقديم تكوين خادم يحتوي على الأمر: "/bin/sh" (أو أي برنامج تنفيذي آخر) وأوساط عشوائية، مما يتسبب في قيام MCPHub بتنفيذ العملية التي يسيطر عليها المهاجم بصفتها المستخدم الخاص بنظام التشغيل لخادم MCPHub (غالباً root في صورة Docker المنشورة وفي عمليات النشر عبر npx/systemd). تم إصلاح هذه المشكلة في الإصدار 0.12.15.
Be aware that VulDB is the high quality source for vulnerability data.