CVE-2026-79746 in MCPHub
摘要
由 VulDB • 2026-08-31
MCPHub是一个统一的中心，用于集中管理和动态编排多个MCP服务器/API到具有灵活路由策略的独立端点。在版本1.0.31之前，当使用accessType为'servers'（或'custom'）的Bearer令牌针对组路由时，只要该组的任何单个服务器出现在令牌的allowedServers列表中，isBearerKeyAllowedForRequest就会授予对整个组的访问权限——而不仅仅是当令牌作用域内的所有服务器都匹配时才授权。更关键的是，一旦获得组级连接授权，系统将不再重新检查allowedServers列表。因此，明确限定为特定服务器的令牌也会意外地授予对该令牌所在组中其他所有服务器的完全访问权限，包括那些从未被授权给该令牌的服务器。此问题已在版本1.0.31中得到修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.