CVE-2026-79745

MCPHub çox sayda MCP serverlərini/API-larını çevik marşrutlaşdırma strategiyaları ilə ayrı son nöqtələrə mərkəzləşdirilmiş şəkildə idarə etmək və dinamik olaraq koordinasiya etmək üçün vahid mərkəzdir. Versiya 1.0.32-dən əvvəl daxili prompt və resurs kontrollerləri heç bir rol yoxlaması aparmır. Dəyişiklik edən POST/PUT /api/prompts* və POST/PUT /api/resources* marşrutları autentifikasiya olunmuş router-ə administrator girişi olmadan qoşulub və handler-lər heç vaxt req.user məlumatını oxumur. Onların yazdığı DAO singleton-ları handleGetPromptRequest / handleReadResourceRequest funksiyasında hər bir sessiya üçün bütün qoşulmuş MCP serverlərindən öncə yoxlanılır. Buna görə də, administrator olmayan istifadəçi digər bütün istifadəçilərə təqdim edilən qlobal prompt şablonlarını və resursları yarada, üzərinə yaza və kölgələndirə bilər. Qiymətləndirilmiş təsir icazəsiz bütövlük pozuntusudur (qlobal səviyyədə təqdim edilən qeydlərin yaradılması/dəyişdirilməsi/kölgələndirilməsi); digər istifadəçilərin LLM sessiyalarına saxlanılmış prompt inyeksiyası həmin manipulyasiyanın nəticəsidir. Bu problem versiya 1.0.32-də aradan qaldırılıb.