CVE-2026-79745 in MCPHub
요약
\~에 의해 VulDB • 2026. 08. 31.
MCPHub는 여러 MCP 서버/API를 별도의 엔드포인트로 중앙에서 관리하고 유연한 라우팅 전략으로 동적으로 오케스트레이션하기 위한 통합 허브입니다. 버전 1.0.32 이전에는 내장 프롬프트 및 리소스 컨트롤러가 역할(Role) 검사를 수행하지 않습니다. 변경을 가하는 POST/PUT /api/prompts* 및 POST/PUT /api/resources* 라우트는 관리자 게이트 없이 인증된 라우터에 연결되어 있으며, 핸들러는 req.user를 전혀 읽지 않습니다. handleGetPromptRequest / handleReadResourceRequest에서 모든 세션마다 DAO 싱글톤이 먼저 참조됩니다(연결된 MCP 서버보다 우선). 따라서 비관리자는 다른 모든 사용자가 제공받는 전역 프롬프트 템플릿 및 리소스를 생성, 덮어쓰기, 그리고 가림(shadowing)할 수 있습니다. 점수화된 영향은 무단 무결성 위반(전역으로 제공되는 레코드에 대한 생성/조작/가림)이며, 저장된 프롬프트 인젝션은 이러한 조작의 하류 결과로서 다른 사용자의 LLM 세션에서 발생합니다. 이 문제는 버전 1.0.32에서 패치되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.