CVE-2026-79745 in MCPHub
Сводка
по VulDB • 31.08.2026
MCPHub — это единый центр для централизованного управления и динамической оркестрации нескольких MCP-серверов/API в отдельные конечные точки с гибкими стратегиями маршрутизации. До версии 1.0.32 встроенные контроллеры промптов (запросов) и ресурсов не выполняют проверку ролей. Мутабельные маршруты POST/PUT /api/prompts* и POST/PUT /api/resources* привязаны к аутентифицированному маршрутизатору без административного контроля, при этом обработчики никогда не считывают req.user. Одиночные экземпляры DAO (Data Access Object), которые они записывают, проверяются в первую очередь — до любого подключенного MCP-сервера — для каждого сеанса в handleGetPromptRequest / handleReadResourceRequest. Таким образом, пользователь без прав администратора может создавать, перезаписывать и затенять глобальные шаблоны промптов и ресурсы, которые обслуживаются всем остальным пользователям. Оцениваемое воздействие заключается в несанкционированном нарушении целостности (создание/изменение/затенение записей, предоставляемых глобально); сохранённая инъекция промпта в сеансы LLM других пользователей является последствием такого изменения данных. Эта проблема исправлена в версии 1.0.32.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.