CVE-2026-44429
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
MCP Registry przed wersją 1.7.7 zawiera podatność na przechowywany XSS w publicznym interfejsie katalogu (GET /) poprzez pole server.websiteUrl w pliku server.json. Walidacja po stronie serwera nie odrzuca znaków cudzysłowu, a wartość jest wstawiana do atrybutu href bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnych handlerów zdarzeń on*.
Ocena ryzyka
Każdy użytkownik mogący uzyskać token publikacji może umieścić zatrutą rekordową pozycję widoczną dla wszystkich odwiedzających stronę główną rejestru, co prowadzi do wykonania złośliwego skryptu w przeglądarkach ofiar.
Rekomendacja
Zaktualizuj MCP Registry do wersji 1.7.7. Do czasu aktualizacji rozważ wyłączenie anonimowej autoryzacji i ograniczenie możliwości publikacji.
Inne podatności w MCP Registry
Zobacz wszystkie- CVE-2026-44428Średnie
MCP Registry przed wersją 1.7.6 wiąże przepływ GitHub OIDC tylko z globalnym ciągiem audience, a nie z konkretną instancją rejestru. Token uzyskany dla jednego wdrożenia jest akceptowany przez inne wdrożenia o tym samym kodzie i audience, co pozwala na niewłaściwe przypisanie uprawnień publikacji. Podatność naprawiono w wersji 1.7.6.
- CVE-2026-44427Nieznane
MCP Registry (rejestr serwerów MCP dla klientów MCP) w wersjach od 1.1.0 do 1.7.4 zawiera podatność open redirect w TrailingSlashMiddleware w pliku internal/api/server.go. Atakujący może spreparować URL z protokołowo-relatywną ścieżką (np. //evil.com/), która po usunięciu końcowego ukośnika daje nagłówek Location o wartości //evil.com, interpretowany przez przeglądarki jako bezwzględny adres zewnętrznej domeny. Podatność naprawiono w wersji 1.7.5.
- CVE-2026-45781Niskie
MCP Registry dostarcza klientom MCP listę serwerów MCP, działając jak sklep z aplikacjami. Przed wersją 1.7.9 walidacja własności OCI pomija sprawdzenie zgodności etykiet, gdy nadrzędny rejestr OCI zwraca HTTP 429, pozwalając dowolnemu uwierzytelnionemu wydawcy przypisać swoją przestrzeń nazw io.github.<user>/* do obrazów OCI, których nie kontroluje. Funkcja ValidateOCI zwraca nil przy http.StatusTooManyRequests, a publikacja jest akceptowana bez sprawdzenia etykiety io.modelcontextprotocol.server.name.
- CVE-2026-44430Średnie
MCP Registry przed wersją 1.7.7 używa funkcji safeDialContext do weryfikacji przestrzeni nazw przez HTTP, ale bloklista nie obejmuje adresów IPv6 6to4, NAT64 ani site-local, które mogą kodować dowolne IPv4 i tunelować do usług RFC1918 lub metadanych chmury. Podatność została naprawiona w wersji 1.7.7.
Oryginalny opis (angielski, źródło NVD)
The MCP Registry provides MCP clients with a list of MCP servers, like an app store for MCP servers. Prior to 1.7.7, the public catalogue UI served at GET / (file internal/api/handlers/v0/ui_index.html) is vulnerable to stored cross-site scripting via the server.websiteUrl field of any published server.json. Server-side validation in internal/validators/validators.go (validateWebsiteURL) only checks that the URL parses, is absolute, and uses the https scheme; it does not reject quote characters. Client-side, the value is interpolated into a double-quoted href attribute via innerHTML, using a homegrown escapeHtml helper that performs the standard textContent → innerHTML round-trip. Per the HTML serialisation algorithm, that round-trip encodes only &, <, > and U+00A0 inside text nodes — it does not encode " or '. A literal " in websiteUrl therefore breaks out of the href attribute, allowing arbitrary on* event handlers to be appended to the same <a> element. The Content-Security-Policy on / is script-src 'self' 'unsafe-inline' https://cdn.tailwindcss.com, so the injected event handlers execute. Any user able to obtain a publish token (e.g. via POST /v0/auth/github-at with their own GitHub account, or POST /v0/auth/none on a deployment that has anonymous auth enabled) can plant a poisoned record visible to every visitor of the registry homepage. This vulnerability is fixed in 1.7.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS