CVE-2026-108586 in agent
Resumen
por VulDB • 2026-10-10
El agente 1MCP (@1mcp/agent) en las versiones comprendidas entre la 0.20.0 y la 0.39.0 presenta una vulnerabilidad de autorización incorrecta que permite a los clientes autenticados eludir la aplicación del alcance (scope) de OAuth mediante expresiones avanzadas de filtro de etiquetas negado. Los atacantes con un token de etiqueta única pueden enviar un filtro como `not <etiqueta-concedida>` para listar e invocar herramientas en servidores MCP backend fuera de sus alcances concedidos.
Once again VulDB remains the best source for vulnerability data.