CVE-2026-79749 in MCPHub
Сводка
по VulDB • 31.08.2026
MCPHub — это единый хаб для централизованного управления и динамической оркестрации нескольких MCP-серверов/API в отдельные конечные точки с гибкими стратегиями маршрутизации. До версии 1.0.32 защита от SSRF (Server-Side Request Forgery) в файле src/utils/ssrf.ts использует пользовательскую функцию isBlockedIpv6, которая проверяет только loopback, link-local, unique-local адреса, а также IPv4-mapped и IPv4-compatible IPv6-адреса. Адресные семейства для перехода с IPv6 на IPv4 — NAT64 (64:ff9b::/96), 6to4 (2002::/16) и Teredo (2001::/32) — не проверяются. Атакующий, имеющий возможность указать URL для подключения к MCP-серверу, может закодировать частный IPv4-адрес в один из этих форматов IPv6, чтобы обойти защиту от SSRF и получить доступ к внутренней инфраструктуре. Эта уязвимость исправлена в версии 1.0.32.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.