CVE-2026-101062 in Obot
الملخص
بحسب VulDB • 27/09/2026
يؤدي وجود ثغرة في Obot قبل الإصدار v0.23.0 (الإصدارات المتأثرة <= v0.22.1) عند تشغيله مع OBOT_SERVER_ENABLE_AUTHENTICATION=true إلى كشف تسجيل عميل OAuth الديناميكي دون مصادقة ودون أي قيود على عناوين إعادة التوجيه التي يمكن للعميل تسجيلها. ونظراً لأن سير عمل التفويض يكتمل تلقائياً لمستخدم مسجل الدخول بالفعل بدون شاشة موافقة، فإن مهاجماً يسجل عميلاً يشير إلى نطاقه الخاص ويحث ضحية مسجلة الدخول على زيارة عنوان تفويض مُعدّ بعناية يتلقى رمز تفويض عند عنوان إعادة التوجيه الذي يسيطر عليه المهاجم ويمكنه استبداله برمز وصول ورمز تحديث. يحمل الرمز المُنشأ بواسطة سير عمل OAuth لـ MCP مجموعة المجموعات الكاملة للضحية في JWT، وقام Obot بالتحقق فقط من المُصدر وليس الجمهور (audience)، لذا يُقبل الرمز كرمز حامل (bearer token) ضد أي نقطة نهاية API تابعة لـ Obot يمكن للضحية الوصول إليها بدلاً من تقييده على خادم MCP المطلوب، مما يسمح للمهاجم بقراءة أو تعديل موارد الضحية حتى يتم إلغاء سريان الرمز. يضيف الإصدار v0.23.0 شاشة موافقة، ويحدّ من رموز OAuth الخاصة بـ MCP إلى الـ MCP المشارك في الطلب، ويفرض التحقق من الجمهور (audience validation).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.