CVE-2026-45781
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
MCP Registry dostarcza klientom MCP listę serwerów MCP, działając jak sklep z aplikacjami. Przed wersją 1.7.9 walidacja własności OCI pomija sprawdzenie zgodności etykiet, gdy nadrzędny rejestr OCI zwraca HTTP 429, pozwalając dowolnemu uwierzytelnionemu wydawcy przypisać swoją przestrzeń nazw io.github.<user>/* do obrazów OCI, których nie kontroluje. Funkcja ValidateOCI zwraca nil przy http.StatusTooManyRequests, a publikacja jest akceptowana bez sprawdzenia etykiety io.modelcontextprotocol.server.name.
Ocena ryzyka
Atakujący może przejąć kontrolę nad przestrzenią nazw OCI i publikować złośliwe obrazy podszywające się pod zaufanych wydawców. Może to prowadzić do dostarczania szkodliwych serwerów MCP klientom i naruszenia zaufania w łańcuchu dostaw.
Rekomendacja
Zaktualizuj MCP Registry do wersji 1.7.9 lub nowszej. Monitoruj publikacje w przestrzeniach nazw OCI pod kątem nieautoryzowanych zmian.
Inne podatności w MCP Registry
Zobacz wszystkie- CVE-2026-44428Średnie
MCP Registry przed wersją 1.7.6 wiąże przepływ GitHub OIDC tylko z globalnym ciągiem audience, a nie z konkretną instancją rejestru. Token uzyskany dla jednego wdrożenia jest akceptowany przez inne wdrożenia o tym samym kodzie i audience, co pozwala na niewłaściwe przypisanie uprawnień publikacji. Podatność naprawiono w wersji 1.7.6.
- CVE-2026-44427Nieznane
MCP Registry (rejestr serwerów MCP dla klientów MCP) w wersjach od 1.1.0 do 1.7.4 zawiera podatność open redirect w TrailingSlashMiddleware w pliku internal/api/server.go. Atakujący może spreparować URL z protokołowo-relatywną ścieżką (np. //evil.com/), która po usunięciu końcowego ukośnika daje nagłówek Location o wartości //evil.com, interpretowany przez przeglądarki jako bezwzględny adres zewnętrznej domeny. Podatność naprawiono w wersji 1.7.5.
- CVE-2026-44430Średnie
MCP Registry przed wersją 1.7.7 używa funkcji safeDialContext do weryfikacji przestrzeni nazw przez HTTP, ale bloklista nie obejmuje adresów IPv6 6to4, NAT64 ani site-local, które mogą kodować dowolne IPv4 i tunelować do usług RFC1918 lub metadanych chmury. Podatność została naprawiona w wersji 1.7.7.
- CVE-2026-44429Średnie
MCP Registry przed wersją 1.7.7 zawiera podatność na przechowywany XSS w publicznym interfejsie katalogu (GET /) poprzez pole server.websiteUrl w pliku server.json. Walidacja po stronie serwera nie odrzuca znaków cudzysłowu, a wartość jest wstawiana do atrybutu href bez odpowiedniego kodowania, co pozwala na wstrzyknięcie dowolnych handlerów zdarzeń on*.
Oryginalny opis (angielski, źródło NVD)
The MCP Registry provides MCP clients with a list of MCP servers, like an app store for MCP servers. Prior to 1.7.9, OCI ownership validation skips label-match check when upstream OCI registry returns HTTP 429, letting any authenticated publisher bind their io.github.<user>/* namespace to OCI images they do not control. internal/validators/registries/oci.go:104-119 fails open on http.StatusTooManyRequests: when the registry's anonymous fetch to the upstream OCI registry is rate-limited, ValidateOCI returns nil and the publish is accepted without ever running the io.modelcontextprotocol.server.name label-match check at lines 122-141. That label check is the only cross-system ownership proof the registry applies to OCI packages — every other registry type (NPM, PyPI, NuGet, MCPB) treats a non-200 upstream response as a hard error. This vulnerability is fixed in 1.7.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS