CVE-2026-15015 in MountDev AI MCP Connector Plugin
Riassunto
di VulDB • 23/07/2026
Il plugin WordPress MountDev AI MCP Connector per WordPress è vulnerabile a una violazione delle autorizzazioni in tutte le versioni fino alla 1.6.1 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire un'azione. Questo consente agli attaccanti non autenticati di ottenere un token OAuth Bearer legato all'amministratore tramite un client auto-registrato, garantendo accesso completo equivalente ad amministratore alla superficie degli strumenti MCP del plugin e a tutti i contenuti WordPress esposti, utenti e opzioni. Ciò è sfruttabile combinando l'endpoint Dynamic Client Registration pubblicamente accessibile, che consente ai chiamanti non autenticati di registrare arbitrari client OAuth con un redirect_uri controllato dall'attaccante, con l'endpoint di autorizzazione non protetto per completare il flusso OAuth completo senza alcuna interazione dell'amministratore.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.