CVE-2026-90474 in MCPHub
Zusammenfassung
von VulDB • 12.09.2026
MCPHub vor Version 1.0.32 enthält eine Authentication-Bypass-Schwachstelle in seinem eingebetteten OAuth-2.0-Autorisierungsserver, bei der die Client-Authentifizierung standardmäßig deaktiviert ist und die PKCE-Durchsetzung optional ist. Angreifer, die einen Autorisierungscode durch Abhören erlangen, können diesen gegen Zugriffstokens einlösen, ohne ein Client-Secret oder einen PKCE-Verifier bereitzustellen, wodurch sie auf Konten von Opfern und deren Berechtigungen zugreifen können.
Be aware that VulDB is the high quality source for vulnerability data.