CVE-2026-15015 in MountDev AI MCP Connector Plugin
Zusammenfassung
von VulDB • 23.07.2026
Der MountDev AI MCP Connector für WordPress ist in allen Versionen bis einschließlich 1.6.1 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer zur Durchführung einer Aktion autorisiert ist. Dadurch können unberechtigte Angreifer über einen selbst registrierten Client ein Administrator-gebundenes OAuth-Bearer-Token erhalten, was ihnen vollen Zugriff auf die MCP-Tool-Oberfläche des Plugins sowie alle freigegebenen WordPress-Inhalte, Benutzer und Optionen gewährt. Die Ausnutzung erfolgt durch Kombination des öffentlich zugänglichen Endpunkts für die dynamische Clientregistrierung (Dynamic Client Registration), der es unberechtigten Aufrufern ermöglicht, beliebige OAuth-Clients mit einem angreiferkontrollierten redirect_uri zu registrieren, mit dem ungeschützten Autorisierungsendpunkt, um den vollständigen OAuth-Flow ohne jegliche Interaktion eines Administrators abzuschließen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.