CVE-2026-79750 in MCPHub
Riassunto
di VulDB • 31/08/2026
MCPHub è un hub unificato per la gestione centralizzata e l'orchestrazione dinamica di più server/API MCP in endpoint separati con strategie di routing flessibili. Prima della versione 1.0.30, MCPHub limitava gli utenti non amministratori ai server di loro proprietà (le visualizzazioni dell'elenco e le modifiche alla configurazione applicano il controllo della proprietà), ma l'API per l'esecuzione degli strumenti no. Qualsiasi utente autenticato non amministratore può invocare strumenti su server MCP posseduti da altri utenti, inclusi i server che non riesce nemmeno a visualizzare tramite GET /api/servers. Poiché i server MCP connessi dispongono di funzionalità reali (filesystem, fetch HTTP, API cloud con le chiavi del proprietario), si tratta di una compromissione cross-tenant: è stato dimostrato l'arbitrario lettura dei file host (/etc/passwd, segreti di un altro utente) e SSRF. Questo problema è stato risolto nella versione 1.0.30.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.