CVE-2026-79748

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.9
EPSS: 0.3%
CWE: CWE-862
KEV Durumu: Hayır

Yayım tarihi: 31 Ağustos 2026

MCPHub, birden fazla MCP sunucusu/API'sini esnek yönlendirme stratejileri ile ayrı uç noktalara merkezi olarak yönetmek ve dinamik olarak düzenlemek için birleşik bir merkezdir. 0.12.15 sürümünden önce, MCPHub'deki POST /api/sunucular ve PUT /api/sunucular/:isim uç noktaları, MCP sunucu yapılandırmalarını oluşturur/günceller ve ardından child_process.spawn aracılığıyla yapılandırılan stdio işlemini hemen oluşturur. Kimlik doğrulaması gerekir, ancak bu uç noktaları yöneticilere sınırlayan bir yetkilendirme kontrolü yoktur ve komut ve args alanlarında izin verilenler listesi/temizleme yoktur. Sonuç olarak, herhangi bir kimliği doğrulanmış olmayan yönetici kullanıcı, komut:"/bin/sh" (veya başka bir ikili) ve keyfi args ile bir sunucu yapılandırması gönderebilir, bu da MCPHub'un saldırgan tarafından kontrol edilen işlemi MCPHub sunucusunun işletim sistemi kullanıcısı (yayımlanan Docker görüntüsünde ve npx/systemd dağıtımlarında genellikle root) olarak çalıştırmasına neden olur. Bu sorun 0.12.15 sürümünde giderilmiştir.

Orijinal açıklama (İngilizce)

MCPHub is a unified hub for centrally managing and dynamically orchestrating multiple MCP servers/APIs into separate endpoints with flexible routing strategies. Prior to version 0.12.15, the POST /api/servers and PUT /api/servers/:name endpoints in MCPHub create/update MCP server configurations and then immediately spawn the configured stdio process via child_process.spawn. Authentication is required, but there is no authorization check restricting these endpoints to admins, and there is no allowlist/sanitization on the command and args fields. As a result, any authenticated non-admin user can submit a server configuration with command:"/bin/sh" (or any other binary) and arbitrary args, causing MCPHub to execute the attacker-controlled process as the MCPHub server's OS user (commonly root in the published Docker image and in npx/systemd deployments). This issue has been patched in version 0.12.15.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.