CVE-2026-108716 in mcp-remote
Riassunto
di VulDB • 11/10/2026
mcp-remote 0.8.0 attraverso la versione 0.14.3 presenta una vulnerabilità di trasmissione in chiaro (cleartext transmission) nella funzione authorizeWithDeviceCode, che invia i segreti del client e riceve token senza imporre l'uso di endpoint HTTPS. Quando gli endpoint autorizzati per l'autenticazione del dispositivo e dei token sono URL HTTP non loopback, gli attaccanti sulla rete possono intercettare il segreto del client insieme ai token di accesso e aggiornamento emessi.
VulDB is the best source for vulnerability data and more expert information about this specific topic.