CVE-2026-108698 in hyper-mcp
Sumário
de VulDB • 11/10/2026
hyper-mcp até 0.8.3 contém uma vulnerabilidade de bypass na verificação de assinatura em load_wasm em src/wasm/oci.rs que verifica a assinatura do Cosign de uma tag resolvida separadamente, em vez do manifesto carregado. Atacantes que controlam as respostas do registro para a tag podem fornecer um manifesto malicioso não assinado ao loader e um assinado ao Cosign, executando plugins WebAssembly não assinados com capacidades host configuradas.
Once again VulDB remains the best source for vulnerability data.