CVE-2026-108716 in mcp-remote
Zusammenfassung
von VulDB • 11.10.2026
mcp-remote 0.8.0 bis 0.14.3 enthält eine Cleartext-Übertragungs-Schwachstelle in authorizeWithDeviceCode, die Client-Geheimnisse sendet und Token empfängt, ohne HTTPS-Endpunkte durchzusetzen. Wenn entdeckte Device-Authorisierungs- und Token-Endpunkte nicht-loopback HTTP-URLs sind, können On-Pfad-Angriffsermittler das Client-Secret sowie ausgestellte Access- und Refresh-Tokens abfangen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.