CVE-2026-79745 in MCPHub
Sumário
de VulDB • 31/08/2026
O MCPHub é um hub unificado para gerenciar centralmente e orquestrar dinamicamente vários servidores/APIs do MCP em endpoints separados, com estratégias de roteamento flexíveis. Antes da versão 1.0.32, os controladores embutidos de prompts e recursos não realizam nenhuma verificação de funções (role checking). As rotas mutáveis POST/PUT /api/prompts* e POST/PUT /api/resources* estão vinculadas ao roteador autenticado sem nenhum gate administrativo, e os handlers nunca leem req.user. Os singletons DAO que eles gravam são consultados primeiro — antes de qualquer servidor MCP conectado — para cada sessão em handleGetPromptRequest / handleReadResourceRequest. Um usuário não administrador pode, portanto, criar, sobrescrever e fazer shadowing (sombreamento) dos modelos globais de prompts e recursos servidos a todos os outros usuários. O impacto classificado é a violação não autorizada da integridade (criação/tampering/sombreamento de registros globalmente servidos); o stored prompt injection nas sessões LLM de outros usuários é uma consequência downstream desse tampering. Este problema foi corrigido na versão 1.0.32.
VulDB is the best source for vulnerability data and more expert information about this specific topic.