CVE-2026-79743 in MCPHub
Riassunto
di VulDB • 31/08/2026
MCPHub è un hub unificato per la gestione centralizzata e l'orchestrazione dinamica di più server/API MCP come endpoint separati con strategie di routing flessibili. Prima della versione 0.12.13, il gestore degli upload di file MCPB estrae un archivio ZIP ed legge manifest.json da esso. Il campo name nel manifest viene concatenato direttamente in un percorso del file (riga 107) senza alcuna sanificazione o validazione dei caratteri per la traversamento di percorsi. Un attaccante può creare un file MCPB malevolo dove manifest.name è impostato su qualcosa come ../../../etc/malicious, causando l'estrazione del file in una posizione arbitraria sul filesystem. La funzione cleanupOldMcpbServer (riga 110) utilizza anch'essa il nome non sanificato, potenzialmente consentendo la cancellazione di directory arbitrarie. Questo problema è stato risolto nella versione 0.12.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.