CVE-2026-79747 in MCPHub
要約
〜によって VulDB • 2026年08月31日
MCPHubは、複数のMCPサーバー/APIを個別のエンドポイントに統合し、柔軟なルーティング戦略で中央管理および動的オーケストレーションを行うための統一ハブです。バージョン1.0.32以前では、認証済みだが管理者ではないユーザーが任意のURLを指すサーバーを登録でき、ハブは外部フィルタリング（ループバック/RFC1918/リンクローカル 169.254.0.0/16 のブロックなし）を行わずにそれに対してサーバーサイドリクエストを発行します。OpenAPIプロキシパス経由ではレスポンスボディが呼び出し元に返されます（完全な反射型SSRF）。SSE/streamable-httpトランスポート経由では、リクエストはブラインドで送信されます。この問題はバージョン1.0.32で修正されています。
Once again VulDB remains the best source for vulnerability data.