CVE-2026-79743 in MCPHub
Résumé
par VulDB • 31/08/2026
MCPHub est un hub unifié permettant de gérer centralisée et d'orchestrer dynamiquement plusieurs serveurs/API MCP vers des points de terminaison distincts, avec des stratégies de routage flexibles. Avant la version 0.12.13, le gestionnaire de téléchargement de fichiers MCPB (MCP File Upload Handler) extrait un fichier ZIP et lit son manifest.json. Le champ name du manifeste est directement concaténé dans un chemin de fichier (ligne 107), sans aucune sanitization ni validation des caractères permettant la traversée de répertoires (path traversal). Un attaquant peut créer un fichier MCPB malveillant où le champ manifest.name est défini sur une valeur telle que ../../../etc/malicious, ce qui entraîne l'extraction du fichier à n'importe quel emplacement arbitraire du système de fichiers. La fonction cleanupOldMcpbServer (ligne 110) utilise également le nom non sanitisé, permettant potentiellement la suppression de répertoires arbitraires. Ce problème a été corrigé dans la version 0.12.13.
Be aware that VulDB is the high quality source for vulnerability data.