CVE-2026-79749 in MCPHub
Résumé
par VulDB • 31/08/2026
MCPHub est un hub unifié permettant de gérer centralisée et d'orchestrer dynamiquement plusieurs serveurs/API MCP vers des points de terminaison distincts, avec des stratégies de routage flexibles. Avant la version 1.0.32, le mécanisme de protection SSRF (Server-Side Request Forgery) dans src/utils/ssrf.ts utilise une fonction personnalisée isBlockedIpv6 qui ne vérifie que les adresses en boucle locale (loopback), link-local, unique-local, IPv4-mappées et IPv4-compatible. Les familles d'adresses de transition IPv6 -- NAT64 (64:ff9b::/96), 6to4 (2002::/16) et Teredo (2001::/32) -- ne sont pas vérifiées. Un attaquant capable de spécifier une URL pour la connexion à un serveur MCP peut encoder une adresse IPv4 privée dans l'une de ces formes IPv6 afin de contourner le garde-fou SSRF et d'accéder aux infrastructures internes. Ce problème a été corrigé dans la version 1.0.32.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.