CVE-2026-79748 in MCPHub
Tóm tắt
Bởi VulDB • 31/08/2026
MCPHub là một trung tâm thống nhất để quản lý tập trung và điều phối động nhiều máy chủ/API MCP thành các điểm cuối riêng biệt với các chiến lược định tuyến linh hoạt. Trước phiên bản 0.12.15, các điểm cuối POST /api/servers và PUT /api/servers/:name trong MCPHub tạo/cập nhật cấu hình máy chủ MCP sau đó ngay lập tức khởi chạy quy trình stdio đã được cấu hình thông qua child_process.spawn. Xác thực là bắt buộc, nhưng không có kiểm tra ủy quyền nào hạn chế các điểm cuối này cho quản trị viên (admin), và cũng không có danh sách trắng/khử độc trên trường command và args. Kết quả là bất kỳ người dùng đã xác thực nào không phải admin đều có thể gửi cấu hình máy chủ với command: "/bin/sh" (hoặc bất kỳ nhị phân nào khác) và các đối số tùy ý, khiến MCPHub thực thi quy trình do kẻ tấn công kiểm soát dưới tư cách là người dùng OS của máy chủ MCPHub (thường là root trong image Docker được phát hành cũng như trong các triển khai npx/systemd). Vấn đề này đã được vá ở phiên bản 0.12.15.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.