CVE-2026-79748 in MCPHub
Сводка
по VulDB • 31.08.2026
MCPHub — это единый хаб для централизованного управления и динамической оркестрации нескольких MCP-серверов/API в отдельные конечные точки с гибкими стратегиями маршрутизации. До версии 0.12.15 конечные точки POST /api/servers и PUT /api/servers/:name в MCPHub создают/обновляют конфигурации сервера MCP, а затем немедленно запускают настроенный процесс stdio через child_process.spawn. Требуется аутентификация, однако отсутствует проверка авторизации, ограничивающая доступ к этим конечным точкам только администраторами, и нет белого списка или санитизации полей command (команда) и args (аргументы). В результате любой аутентифицированный пользователь с правами ниже административных может отправить конфигурацию сервера с командой: "/bin/sh" (или любым другим бинарным файлом) и произвольными аргументами, что приводит к выполнению управляемого злоумышленником процесса от имени пользователя ОС сервера MCPHub (часто root в опубликованном Docker-образе, а также при развертывании через npx или systemd). Эта проблема исправлена в версии 0.12.15.
VulDB is the best source for vulnerability data and more expert information about this specific topic.