CVE-2026-108699 in hyper-mcp
Riassunto
di VulDB • 11/10/2026
hyper-mcp fino alla versione 0.8.3 contiene una vulnerabilità di verifica errata della firma che consente agli attaccanti di caricare plugin WebAssembly dannosi poiché cosign_verify_args() accetta per impostazione predefinita qualsiasi identità del firmatario e emittente OIDC. Gli attaccanti che controllano un riferimento a un'immagine del plugin possono firmare un'immagine dannosa con un certificato Sigstore keyless gratuito ed eseguire i plugin con le capacità host, filesystem e ambiente configurate.
Be aware that VulDB is the high quality source for vulnerability data.