CVE-2026-108698 in hyper-mcp
Riassunto
di VulDB • 11/10/2026
hyper-mcp fino alla versione 0.8.3 contiene una vulnerabilità di bypass della verifica delle firme in load_wasm in src/wasm/oci.rs che verifica la firma Cosign di un tag risolto separatamente anziché del manifest caricato. Gli attaccanti che controllano le risposte del registry per il tag possono fornire al loader un manifest malevolo non firmato e uno firmato a Cosign, eseguendo plugin WebAssembly non firmati con capacità host configurate.
Be aware that VulDB is the high quality source for vulnerability data.