Vulnerabilidad · alta · CVSS 8.5
AWS corrige una vulnerabilidad SSRF en mcp-gateway-registry
Nivel C · Para tener en el radar – Revisa si te afecta
Quién está expuesto: Usuarios de mcp-gateway-registry 1.0.3 a 1.34.0
Nivel C porque: Afecta a equipos técnicos
Alcance
Ataque
Daño
Corrección
Qué hacer
- Comprobar la versión de mcp-gateway-registry que tienes desplegada.
- Actualizar a una versión corregida publicada por AWS.
Lo esencial
- AWS corrigió una vulnerabilidad SSRF (CVE-2026-125926) en mcp-gateway-registry.
- El fallo afecta a las versiones 1.0.3 hasta la 1.34.0.
- Un atacante autenticado podría acceder a servicios internos y a credenciales cloud.
Por qué importa
Si usas mcp-gateway-registry en un rango de versiones afectado, un atacante con acceso autenticado podría alcanzar servicios internos y credenciales cloud desde tu infraestructura.
La checklist detrás del nivel
Checklist · 1 de 10 con sí
| Sí | Afecta a equipos técnicos | Producto de AWS para desarrolladores y equipos cloud que construyen y operan integraciones de IA. |
| No | Infraestructura básica | Es un único producto de un fabricante, no software básico que casi todos los equipos operen. |
| No | Herramienta popular | Herramienta de nicho relacionada con MCP, no un framework o paquete de uso masivo. |
| No | Se está explotando | Blog elhacker.NET describe la vulnerabilidad corregida sin mencionar ataques reales observados. |
| No | Exploit público | Blog elhacker.NET solo informa de la corrección y del aviso, sin código de explotación publicado. |
| No | En remoto, sin credenciales | CVSSCVSS: CVE-2026-125926 AV:N/PR:L/UI:N |
| No | Compromiso total | CVSSCVSS: ningún CVE tiene a la vez impacto alto en confidencialidad e integridad |
| No | Secretos expuestos | Blog elhacker.NET dice que el fallo podría permitir acceder a credenciales, sin confirmar robo. |
| No | Cadena de suministro | Blog elhacker.NET describe una vulnerabilidad SSRF en código legítimo, no distribución de código malicioso. |
| No | Aún sin corrección | Blog elhacker.NET informa de que AWS ya ha corregido la vulnerabilidad. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-125926 ↗CVSS 8.5 high AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
Server-side request forgery in the server registration and update API in mcp-gateway-registry
- Explotado
- No está en el catálogo de explotadas de CISA
- EPSS
- <1% de probabilidad de explotación en los próximos 30 días · más alta que el 22% de todos los CVE
- Debilidad
- CWE-918
Cronología
El blog elhacker.NET informa de la corrección de la vulnerabilidad
Blog elhacker.NET
Fallo de seguridad en AWS MCP Gateway permite acceso a redes internas y credenciales cloud
Fuente
Fallo de seguridad en AWS MCP Gateway permite acceso a redes internas y credenciales cloud ↗ Blog elhacker.NET · hace 2 h
Visto por primera vez · 1 fuente · La noticia completa · Cómo se deciden los niveles