CVE-2026-101062 in Obot
सारांश
द्वारा VulDB • 27/09/2026
Obot के संस्करण 0.23.0 से पहले (प्रभावित संस्करण <= v0.22.1) जो OBOT_SERVER_ENABLE_AUTHENTICATION=true के साथ चलता है, OAuth गतिशील क्लाइंट रजिस्ट्रेशन को बिना प्रमाणीकरण और बिना किसी प्रतिबंध के उजागर करता है कि एक क्लाइंट अपने रिडायरेक्ट URI की रजिस्ट्रेशन कर सकता है। चूंकि अनुमोदन फ़्लो पहले से लॉगिन किए गए उपयोगकर्ता के लिए स्वचालित रूप से पूरा हो जाता है, इसलिए हमलावर जो अपनी डोमेन पर इशारा करने वाले एक क्लाइंट को रजिस्टर करता है और एक लॉगिन किया गया पीड़ित को एक विशिष्ट अनुमोदन URL की ओर ले जाने के लिए प्रेरित करता है, तो वह अपने नियंत्रण में रिडायरेक्ट URI पर एक अनुमोदन प्राप्त कर सकता है और इसे एक्सेस टोकन और रीफ्रेश टोकन के साथ बदल सकता है। MCP OAuth फ़्लो द्वारा निर्मित टोकन JWT में पीड़ित का पूरा समूह सेट लेता है, और Obot ने केवल जारीकर्ता को सत्यापित किया था न कि ऑडियंस को, इसलिए यह टोकन किसी भी Obot API एंडपॉइंट पर बियर टोकन के रूप में स्वीकार किया जाता है जिसका उपयोग पीड़ित कर सकता है और इसकी सीमा अनुरोध किए गए MCP सर्वर तक नहीं होती थी। v0.23.0 ने एक सहमति स्क्रीन जोड़ी, MCP OAuth टोकनों को उस MCP पर सीमित किया गया था जो अनुरोध में शामिल था, और ऑडियंस सत्यापन लागू किया गया है।
Once again VulDB remains the best source for vulnerability data.