CVE-2026-61742

KrytyczneCVSS 9.3

Opublikowano: 24/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Streszczenie

DBHub, serwer MCP dla baz danych, w wersjach przed 0.22.5 udostępnia nieuwierzytelniony endpoint HTTP MCP po uruchomieniu w trybie transportu HTTP. Mechanizm ochrony oparty na porównaniu nagłówków Origin i Host nie zapobiega atakowi DNS rebinding, co pozwala złośliwej stronie wywoływać narzędzia MCP z przeglądarki ofiary. W zależności od konfiguracji może to prowadzić do odczytu, wyliczenia, a potencjalnie zapisu zawartości bazy danych.

Ocena ryzyka

Atakujący może bez uwierzytelnienia wykonywać operacje na bazie danych za pośrednictwem przeglądarki ofiary, co grozi wyciekiem lub modyfikacją danych. Ryzyko jest szczególnie wysokie przy rzeczywistych bazach z szerokimi uprawnieniami narzędzi MCP.

Rekomendacja

Zaktualizuj DBHub do wersji 0.22.5 lub nowszej. Ogranicz dostęp sieciowy do endpointu HTTP MCP oraz stosuj zasadę minimalnych uprawnień dla poświadczeń bazy danych.

Inne podatności w DBHub

CVE-2026-61788Wysokie
DBHub przed wersją 0.22.6 nie egzekwuje trybu tylko do odczytu (readonly) dla narzędzia execute_sql, mimo ustawienia readonly = true. Kod odpowiedzialny za ustawienie read-only nie jest wykonywany, a jedyną ochroną jest prosty klasyfikator sprawdzający pierwsze słowo zapytania. Umożliwia to manipulację sekwencjami, zapis plików na serwerze, odczyt plików hosta oraz zdalne wykonanie kodu. Transport HTTP jest nieuwierzytelniony i domyślnie nasłuchuje na 0.0.0.0.

Oryginalny opis (angielski, źródło NVD)

DBHub is a database MCP server for Postgres, MySQL, SQL Server, Oracle, MariaDB, SQLite. Versions prior to 0.22.5 expose an unauthenticated HTTP MCP endpoint when started with the documented HTTP transport mode, for example `--transport http --port 8080`. The HTTP server attempts to protect browser-origin access by checking whether the `Origin` hostname equals the `Host` hostname, then reflecting the validated `Origin` into `Access-Control-Allow-Origin`. This does not stop DNS rebinding. After an attacker-controlled hostname rebinds to a victim-accessible DBHub HTTP server, both `Origin` and `Host` can contain the attacker-controlled hostname, so DBHub accepts the request and dispatches MCP tool calls. As a result, a malicious website can deterministically invoke DBHub MCP tools from the victim's browser without prompt injection or model involvement. With the default demo configuration this can read and write the demo SQLite database; with a real configured database, the same primitive can read, enumerate, and potentially write database contents depending on DBHub's configured tool permissions and database credentials. Version 0.22.5 fixes the issue.