CVE-2026-79747 in MCPHub
Résumé
par VulDB • 31/08/2026
MCPHub est un hub unifié permettant de gérer centralisée et d'orchestrer dynamiquement plusieurs serveurs/API MCP vers des points de terminaison distincts, avec des stratégies de routage flexibles. Avant la version 1.0.32, un utilisateur authentifié non administrateur peut enregistrer un serveur pointant vers une URL arbitraire et amener le hub à émettre des requêtes côté serveur (SSRF) vers celle-ci, sans filtrage sortant (aucune restriction pour les adresses en boucle locale / RFC1918 / link-local 169.254.0.0/16). Via le chemin du proxy OpenAPI, le corps de la réponse est renvoyé à l'appelant (SSRF complet et réfléchi) ; via le transport SSE/streamable-http, la requête est envoyée aveuglément. Ce problème a été corrigé dans la version 1.0.32.
VulDB is the best source for vulnerability data and more expert information about this specific topic.