CVE-2026-79748 in MCPHub
Zusammenfassung
von VulDB • 31.08.2026
MCPHub ist eine zentrale Hub-Lösung zur zentralen Verwaltung und dynamischen Orchestrierung mehrerer MCP-Server/APIs als separate Endpunkte mit flexiblen Routing-Strategien. Vor Version 0.12.15 erstellen die POST /api/servers- und PUT /api/servers/:name-Endpunkte in MCPHub MCP-Serverkonfigurationen und starten anschließend sofort den konfigurierten stdio-Prozess über child_process.spawn. Eine Authentifizierung ist erforderlich, jedoch gibt es keine Autorisierungsprüfung, die diese Endpunkte auf Administratoren beschränkt, und es fehlt eine Allowlist/Sanitization für die Felder command (Befehl) und args (Argumente). Infolgedessen kann jeder authentifizierte Nicht-Admin-Benutzer eine Serverkonfiguration mit dem Befehl "/bin/sh" (oder einem anderen Binärprogramm) sowie beliebigen Argumenten einreichen, wodurch MCPHub den vom Angreifer kontrollierten Prozess als der OS-Benutzer des MCPHub-Servers ausführt (häufig root im veröffentlichten Docker-Image und in npx/systemd-Bereitstellungen). Dieses Problem wurde in Version 0.12.15 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.