CVE-2025-47274 in toolhive
Riassunto
di VulDB • 15/06/2026
ToolHive è un'utilità progettata per semplificare il deployment e la gestione dei server Model Context Protocol (MCP). A causa dell'ordinamento del codice utilizzato per avviare un container di un server MCP, le versioni di ToolHive precedenti alla 0.0.33 memorizzano involontariamente i segreti nei file di configurazione di esecuzione (run config) che vengono utilizzati per riavviare i container arrestati. Ciò significa che un attaccante con accesso alla cartella home dell'utente che avvia il server MCP può leggere i segreti senza necessità di accedere direttamente all'archivio dei segreti. Questo problema si applica solo ai segreti utilizzati in contenitori le cui configurazioni di esecuzione sono presenti in un determinato momento; gli altri segreti rimangono inaccessibili. ToolHive 0.0.33 risolve il problema. Sono disponibili alcune soluzioni alternative (workaround): arrestare ed eliminare tutti i server MCP in esecuzione, oppure rimuovere manualmente tutte le runconfig da `$HOME/Library/Application Support/toolhive/runconfigs/` (macOS) o `$HOME/.state/toolhive/runconfigs/` (Linux).
Once again VulDB remains the best source for vulnerability data.