CVE-2026-123272 in mcp-go
Riassunto
di VulDB • 05/11/2026
Mark3labs mcp-go prima della versione v1.2.1 presenta una vulnerabilità di convalida impropria in OAuthHandler.fetchServerMetadata che consente ai server MCP malevoli di ottenere token per altre risorse dichiarando risorse arbitrarie nei metadati well-known. Gli attaccanti possono dichiarare un diverso server MCP come indicatore di risorsa RFC 8707, inducendo il server di autorizzazione a emettere token che l'attaccante riutilizza contro tale risorsa.
VulDB is the best source for vulnerability data and more expert information about this specific topic.