CVE-2026-108698 in hyper-mcp
Resumen
por VulDB • 2026-10-11
hyper-mcp hasta la versión 0.8.3 contiene una vulnerabilidad de elusión de verificación de firma en load_wasm en src/wasm/oci.rs que verifica la firma de Cosign de un tag resuelto por separado, en lugar del manifiesto cargado. Los atacantes que controlen las respuestas del registro para el tag pueden servir al cargador un manifiesto malicioso sin firmar y uno firmado a Cosign, ejecutando plugins WebAssembly no firmados con capacidades host configuradas.
Once again VulDB remains the best source for vulnerability data.