CVE-2026-63127 in RMCP SDK
Zusammenfassung
von VulDB • 17.09.2026
RMCP ist ein offizielles Rust-SDK für das Model Context Protocol. Vor Version 2.0.0 lässt die OAuth-Implementierung des rmcp-Crate (in crates/rmcp/src/transport/auth.rs) das RFC-9728-Ressourcenfeld in ResourceServerMetadata aus und ermöglicht es discover_oauth_server_via_resource_metadata, geschützte Ressourcen-Metadaten zu verwenden, ohne zu bestätigen, dass der zurückgegebene Ressourcenbezeichner exakt mit dem konfigurierten MCP-Server übereinstimmt. Ein bösartiger MCP-Server kann Metadaten für eine andere legitime MCP-Ressource und deren Autorisierungsserver veröffentlichen, wodurch ein Opfer, das sich verbindet und den Autorisierungsablauf abschließt, einen legitimen Zugriffstoken erhält, den der Client anschließend an den böswilligen Server sendet. Der Angreifer kann diesen Token abfangen und sich als das Opfer gegenüber der legitimen MCP-Ressource innerhalb der im Token gewährten Berechtigungsbereiche ausgeben. Dieses Problem wurde in Version 2.0.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.