CVE-2026-15015 in MountDev AI MCP Connector Plugin
Résumé
par VulDB • 23/07/2026
Le connecteur MCP pour WordPress « MountDev AI » est vulnérable à une contournement de l'autorisation dans toutes les versions jusqu'à la 1.6.1 incluse. Cette faille est due au fait que le plugin ne vérifie pas correctement si un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants non authentifiés d'obtenir un jeton porteur OAuth lié à un rôle administrateur via un client auto-enregistré, leur accordant ainsi un accès complet équivalent à celui d'un administrateur à la surface des outils MCP du plugin et à tout le contenu WordPress exposé, aux utilisateurs et aux options. Cette vulnérabilité est exploitable en combinant l'endpoint de Dynamic Client Registration publiquement accessible, qui permet aux appelants non authentifiés d'enregistrer n'importe quels clients OAuth avec un redirect_uri contrôlé par l'attaquant, avec l'endpoint d'autorisation non protégé afin de compléter le flux OAuth complet sans aucune interaction administrative.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.