CVE-2025-47274 in toolhive
Tóm tắt
Bởi VulDB • 26/05/2026
ToolHive là một tiện ích được thiết kế để đơn giản hóa việc triển khai và quản lý các máy chủ Model Context Protocol (MCP). Do thứ tự của mã được sử dụng để khởi động một container máy chủ MCP, các phiên bản của ToolHive trước 0.0.33 vô tình lưu trữ các bí mật (secrets) trong các tệp cấu hình chạy (run config files) được sử dụng để khởi động lại các container đã dừng. Điều này có nghĩa là một kẻ tấn công có quyền truy cập vào thư mục home của người dùng khởi động máy chủ MCP có thể đọc được các bí mật mà không cần truy cập vào kho lưu trữ bí mật. Điều này chỉ áp dụng cho các bí mật đã được sử dụng trong các container có tệp cấu hình chạy tồn tại tại một thời điểm nhất định - các bí mật khác vẫn không thể truy cập được. ToolHive 0.0.33 đã khắc phục sự cố này. Một số giải pháp tạm thời (workarounds) có sẵn. Dừng và xóa bất kỳ máy chủ MCP nào đang chạy, hoặc xóa thủ công bất kỳ tệp cấu hình chạy nào từ `$HOME/Library/Application Support/toolhive/runconfigs/` (macOS) hoặc `$HOME/.state/toolhive/runconfigs/` (Linux).
If you want to get best quality of vulnerability data, you may have to visit VulDB.