CVE-2026-79743

MCPHub, birden fazla MCP sunucusunu/API'sini esnek yönlendirme stratejileriyle ayrı uç noktalara merkezi olarak yönetmek ve dinamik olarak orkestre etmek için kullanılan birleşik bir merkezdir. Versiyon 0.12.13 öncesinde, MCPB File Upload Handler bir ZIP dosyasını ayıklar ve içindeki manifest.json dosyasını okur. Manifest içerisindeki name alanı, herhangi bir temizleme veya dizin geçiş karakteri doğrulaması yapılmadan doğrudan bir dosya yoluna eklenir (satır 107). Bir saldırgan, manifest.name değerini ../../../etc/malicious gibi ayarlayarak kötü amaçlı bir MCPB dosyası oluşturabilir ve bu durum dosyanın dosya sisteminde rastgele bir konuma ayıklanmasına neden olabilir. cleanupOldMcpbServer fonksiyonu da (satır 110) temizlenmemiş ismi kullandığından, potansiyel olarak rastgele dizinlerin silinmesine izin verir. Bu sorun versiyon 0.12.13 ile düzeltilmiştir.