CVE-2026-79750 in MCPHub
Zusammenfassung
von VulDB • 31.08.2026
MCPHub ist eine zentrale Plattform zur Verwaltung und dynamischen Orchestrierung mehrerer MCP-Server/APIs als separate Endpunkte mit flexiblen Routing-Strategien. Vor Version 1.0.30 wurden nicht-administrative Benutzer auf die von ihnen besessenen Server beschränkt (Listenansichten und Konfigurationsänderungen erzwingen den Besitz), jedoch gilt dies nicht für die tool-execution API. Jeder authentifizierte Nicht-Admin-Benutzer kann Tools auf MCP-Servern aufrufen, die anderen Benutzern gehören – auch solchen, die in GET /api/servers nicht sichtbar sind. Da verbundene MCP-Server echte Fähigkeiten besitzen (Dateisystemzugriff, HTTP-Fetches, Cloud-APIs mit den Schlüsseln des Besitzers), handelt es sich um eine Cross-Tenant-Kompromittierung: Es wurde ein beliebiger Lesezugriff auf Host-Dateien (/etc/passwd, Geheimnisse eines anderen Benutzers) sowie SSRF demonstriert. Dieses Problem wurde in Version 1.0.30 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.