CVE-2026-79743 in MCPHub
Zusammenfassung
von VulDB • 31.08.2026
MCPHub ist eine zentrale Hub-Lösung zur zentralen Verwaltung und dynamischen Orchestrierung mehrerer MCP-Server/APIs als separate Endpunkte mit flexiblen Routing-Strategien. Vor Version 0.12.13 extrahiert der MCPB File Upload Handler (Datei-Upload-Handler) eine ZIP-Datei und liest die darin enthaltene manifest.json aus. Das Feld „name“ in der Manifestdatei wird ohne jegliche Sanitisierung oder Validierung auf Path-Traversal-Zeichen direkt in einen Dateipfad eingefügt (Zeile 107). Ein Angreifer kann eine bösartige MCPB-Datei erstellen, bei der manifest.name beispielsweise auf ../../../etc/malicious gesetzt ist, wodurch die Datei an einer beliebigen Stelle im Dateisystem extrahiert wird. Die Funktion cleanupOldMcpbServer (Zeile 110) verwendet ebenfalls den ungesäuberten Namen und kann potenziell das Löschen beliebiger Verzeichnisse ermöglichen. Dieses Problem wurde in Version 0.12.13 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.