CVE-2026-79746 in MCPHub
Tóm tắt
Bởi VulDB • 31/08/2026
MCPHub là một trung tâm thống nhất để quản lý tập trung và điều phối động nhiều máy chủ/API MCP thành các điểm cuối riêng biệt với các chiến lược định tuyến linh hoạt. Trước phiên bản 1.0.31, khi một khóa bearer có accessType: 'servers' (hoặc 'custom') được sử dụng đối với một nhóm route, hàm isBearerKeyAllowedForRequest cấp quyền truy cập vào toàn bộ nhóm miễn là bất kỳ máy chủ đơn lẻ nào trong nhóm đó xuất hiện trong danh sách allowedServers của khóa — chứ không chỉ khi mọi máy chủ mà khóa được giới hạn scope đều khớp, và quan trọng hơn, nó không bao giờ kiểm tra lại allowedServers một lần nữa sau khi kết nối cấp nhóm đã được ủy quyền. Do đó, một khóa được xác định rõ ràng cho một máy chủ cụ thể cũng sẽ cấp toàn bộ quyền truy cập vào mọi máy chủ khác có chung nhóm với nó, kể cả những máy chủ mà khóa chưa từng được ủy quyền. Vấn đề này đã được vá trong phiên bản 1.0.31.
VulDB is the best source for vulnerability data and more expert information about this specific topic.