CVE-2026-79746 in MCPHub
요약
\~에 의해 VulDB • 2026. 08. 31.
MCPHub는 여러 MCP 서버/API를 별도의 엔드포인트로 중앙에서 관리하고 유연한 라우팅 전략으로 동적으로 오케스트레이션하기 위한 통합 허브입니다. 버전 1.0.31 이전에서는 `accessType: 'servers'`(또는 `'custom'`)인 bearer key가 그룹 경로(group route)에 대해 사용될 때, 해당 키의 allowedServers 목록에 있는 단일 서버만 존재하면 전체 그룹에 대한 접근이 허용됩니다(키가 스코프된 모든 서버와 일치할 경우뿐만 아니라). 또한 일단 그룹 수준 연결이 인증되면 allowedServers를 다시 확인하지 않습니다. 따라서 특정 서버 하나에만 명시적으로 스코프된 key도 그 server와 같은 그룹을 공유하는 다른 모든 서버, 즉 해당 키로 승인되지 않은 서버까지도 전체 접근 권한을 부여합니다. 이 문제는 버전 1.0.31에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.