CVE-2026-79747

Nome do Software Vulnerável e Versões Afetadas MCPHub versões anteriores a 1.0.32

Descrição Um usuário autenticado não administrador pode registrar um servidor apontando para uma URL arbitrária, fazendo com que o hub emita solicitações do lado do servidor sem filtragem de saída. Essa ausência de filtragem permite solicitações para endereços de loopback, RFC1918 e link-local 169.254.0.0/16. Ao utilizar o caminho do proxy OpenAPI, o corpo da resposta é retornado ao chamador, resultando em um Server-Side Request Forgery (SSRF) refletido, condição na qual um invasor induz o servidor a fazer solicitações para um local não pretendido. Ao utilizar o transporte SSE/streamable-http, a solicitação é enviada de forma cega.

Recomendações Atualizar para a versão 1.0.32.