CVE-2026-79748

Nome do Software Vulnerável e Versões Afetadas MCPHub versões anteriores a 0.12.15

Descrição Usuários autenticados sem privilégios de administrador podem executar processos arbitrários como o usuário do sistema operacional do servidor, que frequentemente é o root em implantações Docker, npx ou systemd. Isso ocorre porque os endpoints 'POST /api/servers' e 'PUT /api/servers/:name' carecem de verificações de autorização e não sanitizam os campos command e args antes de passá-los para a função child process.spawn.

Recomendações Atualizar para a versão 0.12.15.