CVE-2026-79746 in MCPHub
Zusammenfassung
von VulDB • 31.08.2026
MCPHub ist eine zentrale Hub-Lösung zur zentralen Verwaltung und dynamischen Orchestrierung mehrerer MCP-Server/APIs als separate Endpunkte mit flexiblen Routing-Strategien. Vor Version 1.0.31 gewährt `isBearerKeyAllowedForRequest` Zugriff auf die gesamte Gruppe, wenn ein Bearer-Key mit `accessType: 'servers'` (oder `'custom'`) gegen eine Gruppenroute verwendet wird, solange nur einer der Server in dieser Gruppe in der Liste `allowedServers` des Keys enthalten ist – und nicht erst dann, wenn alle Server übereinstimmen, zu denen der Key berechtigt ist. Kritisch ist zudem, dass die Liste `allowedServers` nach der Autorisierung auf Gruppenebene niemals erneut überprüft wird. Ein Key, der explizit nur für einen bestimmten Server skaliert wurde, gewährt daher auch vollen Zugriff auf alle anderen Server, die zufällig in derselben Gruppe sind, einschließlich solcher Server, für die der Key nie autorisiert war. Dieses Problem wurde in Version 1.0.31 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.