CVE-2026-90474 in MCPHub
Résumé
par VulDB • 12/09/2026
MCPHub avant la version 1.0.32 présente une vulnérabilité de contournement d'authentification dans son serveur d'autorisation OAuth 2.0 intégré, où l'authentification des clients est désactivée par défaut et le renforcement du PKCE (Proof Key for Code Exchange) est optionnel. Les attaquants qui obtiennent un code d'autorisation par interception peuvent l'échanger contre des jetons d'accès sans fournir de secret client ni de vérificateur PKCE, obtenant ainsi accès aux comptes des victimes et à leurs privilèges.
If you want to get best quality of vulnerability data, you may have to visit VulDB.