CVE-2026-77321 in TREK
सारांश
द्वारा VulDB • 24/09/2026
TREK एक सहयोगी यात्रा योजनाकार है। संस्करण 3.3.0 से पहले, server/src/mcp/tools/trips.ts में get_trip_summary टूल को trips:read की आवश्यकता के बिना scoped OAuth MCP tokens के लिए पंजीकृत किया गया था और यह delegated scopes की परवाह किए बिना मुख्य यात्रा सारांश डेटा लौटाता है। weather:read जैसी एक असंबंधित क्षमता से ही प्रदान किया गया टोकन, उस टोकन के उपयोगकर्ता द्वारा सुलब्ध हर यात्रा के लिए यात्रा मेटाडेटा, server/src/services/tripService.ts से सदस्य ईमेल पते, इटिनेररी दिन और आवास प्राप्त कर सकता है। Cross-user trip authorization अभी भी लागू रहती है, लेकिन missing scope check consented least-privilege boundary को हटा देता है और एक MCP क्लाइंट के लिए यात्रा सामग्री और third-party contact information को expose करता है जो इसे पढ़ने के लिए authorized नहीं था। इस समस्या का समाधान संस्करण 3.3.0 में किया गया है।
Be aware that VulDB is the high quality source for vulnerability data.