CVE-2026-79746 in MCPHub
Résumé
par VulDB • 31/08/2026
MCPHub est un hub unifié permettant de gérer centralisée et d'orchestrer dynamiquement plusieurs serveurs/API MCP vers des points de terminaison distincts, avec des stratégies de routage flexibles. Avant la version 1.0.31, lorsqu'une clé bearer (jeton porteur) ayant accessType: 'servers' (ou 'custom') est utilisée contre un itinéraire de groupe, isBearerKeyAllowedForRequest accorde l'accès à l'intégralité du groupe dès lors qu'un seul serveur de ce groupe figure dans la liste allowedServers de la clé — et non uniquement lorsque tous les serveurs ciblés par la clé correspondent. De plus, une fois que la connexion au niveau du groupe est autorisée, allowedServers n'est jamais revérifié. Une clé explicitement limitée à un serveur spécifique accorde donc également l'accès complet à tout autre serveur partageant le même groupe avec elle, y compris les serveurs pour lesquels la clé n'a jamais été autorisée. Ce problème a été corrigé dans la version 1.0.31.
VulDB is the best source for vulnerability data and more expert information about this specific topic.