CVE-2026-44428
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
MCP Registry przed wersją 1.7.6 wiąże przepływ GitHub OIDC tylko z globalnym ciągiem audience, a nie z konkretną instancją rejestru. Token uzyskany dla jednego wdrożenia jest akceptowany przez inne wdrożenia o tym samym kodzie i audience, co pozwala na niewłaściwe przypisanie uprawnień publikacji. Podatność naprawiono w wersji 1.7.6.
Ocena ryzyka
Token OIDC uzyskany legalnie w jednym rejestrze może zostać użyty do publikacji w innym wdrożeniu, naruszając izolację i kontrolę dostępu. Może to prowadzić do nieautoryzowanej publikacji pakietów.
Rekomendacja
Zaktualizuj MCP Registry do wersji 1.7.6 lub nowszej. Do czasu aktualizacji rozważ ograniczenie zaufania między wdrożeniami rejestru.
Inne podatności w MCP Registry
Zobacz wszystkie- CVE-2026-44427Nieznane
MCP Registry (rejestr serwerów MCP dla klientów MCP) w wersjach od 1.1.0 do 1.7.4 zawiera podatność open redirect w TrailingSlashMiddleware w pliku internal/api/server.go. Atakujący może spreparować URL z protokołowo-relatywną ścieżką (np. //evil.com/), która po usunięciu końcowego ukośnika daje nagłówek Location o wartości //evil.com, interpretowany przez przeglądarki jako bezwzględny adres zewnętrznej domeny. Podatność naprawiono w wersji 1.7.5.
- CVE-2026-45781Niskie
MCP Registry dostarcza klientom MCP listę serwerów MCP, działając jak sklep z aplikacjami. Przed wersją 1.7.9 walidacja własności OCI pomija sprawdzenie zgodności etykiet, gdy nadrzędny rejestr OCI zwraca HTTP 429, pozwalając dowolnemu uwierzytelnionemu wydawcy przypisać swoją przestrzeń nazw io.github.<user>/* do obrazów OCI, których nie kontroluje. Funkcja ValidateOCI zwraca nil przy http.StatusTooManyRequests, a publikacja jest akceptowana bez sprawdzenia etykiety io.modelcontextprotocol.server.name.
- CVE-2026-44430Średnie
MCP Registry przed wersją 1.7.7 używa funkcji safeDialContext do weryfikacji przestrzeni nazw przez HTTP, ale bloklista nie obejmuje adresów IPv6 6to4, NAT64 ani site-local, które mogą kodować dowolne IPv4 i tunelować do usług RFC1918 lub metadanych chmury. Podatność została naprawiona w wersji 1.7.7.
- CVE-2026-44429Średnie
MCP Registry przed wersją 1.7.7 zawiera podatność na przechowywany XSS w publicznym interfejsie katalogu (GET /) poprzez pole server.websiteUrl w pliku server.json. Walidacja po stronie serwera nie odrzuca znaków cudzysłowu, a wartość jest wstawiana do atrybutu href bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnych handlerów zdarzeń on*.
Oryginalny opis (angielski, źródło NVD)
The MCP Registry provides MCP clients with a list of MCP servers, like an app store for MCP servers. Prior to 1.7.6, the client-side and server-side GitHub OIDC flow is bound only to a global audience string, not to the specific registry instance being targeted. On the client side, the publisher always appends audience=mcp-registry when requesting the GitHub Actions ID token, regardless of the selected --registry URL. On the server side, the exchange endpoint validates only that same fixed audience and then derives publish permissions directly from repository_owner. As a result, a token legitimately obtained while interacting with one registry deployment remains acceptable to any other deployment that shares the same code and audience string. This vulnerability is fixed in 1.7.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS