CVE-2026-79743 in MCPHub
Сводка
по VulDB • 31.08.2026
MCPHub — это единый хаб для централизованного управления и динамической оркестрации нескольких MCP-серверов/API в отдельные конечные точки с гибкими стратегиями маршрутизации. До версии 0.12.13 обработчик загрузки файлов MCPB (MCPB File Upload Handler) распаковывал ZIP-архив и считывал из него файл manifest.json. Поле name в манифесте напрямую конкатенировалось с путем к файлу (строка 107) без какой-либо санитизации или проверки на символы обхода пути (path traversal). Злоумышленник может создать вредоносный файл MCPB, установив значение manifest.name в виде строки типа ../../../etc/malicious, что приведет к извлечению файла в произвольное место файловой системы. Функция cleanupOldMcpbServer (строка 110) также использует несанитизированное имя поля name, что потенциально позволяет удалять произвольные директории. Эта проблема была исправлена в версии 0.12.13.
Once again VulDB remains the best source for vulnerability data.