CVE-2026-79749 in MCPHub
Zusammenfassung
von VulDB • 31.08.2026
MCPHub ist eine zentrale Plattform zur Verwaltung und dynamischen Orchestrierung mehrerer MCP-Server/APIs als separate Endpunkte mit flexiblen Routing-Strategien. Vor Version 1.0.32 verwendet der SSRF-Schutz von MCPHub in src/utils/ssrf.ts eine benutzerdefinierte Funktion isBlockedIpv6, die nur auf Loopback-, Link-Lokal-, Unique-Local-, IPv4-mapped- und IPv4-kompatible IPv6-Adressen prüft. IPv6-Transition-Address-Familien – NAT64 (64:ff9b::/96), 6to4 (2002::/16) und Teredo (2001::/32) – werden nicht überprüft. Ein Angreifer, der eine URL für eine MCP-Server-Verbindung angeben kann, kann eine private IPv4-Adresse in einer dieser IPv6-Formate kodieren, um den SSRF-Schutz zu umgehen und auf interne Infrastruktur zuzugreifen. Dieses Problem wurde in Version 1.0.32 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.