CVE-2026-90474 in MCPHub
الملخص
بحسب VulDB • 12/09/2026
تحتوي MCPHub قبل الإصدار 1.0.32 على ثغرة لتجاوز المصادقة في خادم التفويض OAuth 2.0 المدمج الخاص بها، حيث تكون مصادقة العميل معطلة افتراضياً وإنفاذ PKCE اختيارياً. يمكن للمهاجمين الذين يحصلون على رمز تفويض من خلال الاعتراض استبداله برموز وصول دون الحاجة إلى تقديم سر العميل أو متحقق PKCE، مما يمنحهم الوصول إلى حسابات الضحايا وصلاحياتهم.
Once again VulDB remains the best source for vulnerability data.