CVE-2026-15015 in MountDev AI MCP Connector Plugin
要約
〜によって VulDB • 2026年07月23日
WordPress用プラグイン「MountDev AI MCP Connector for WordPress」は、1.6.1を含むすべてのバージョンにおいて認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかをプラグインが適切に検証しないことに起因します。これにより、認証されていない攻撃者は自己登録されたクライアントを通じて管理者限定のOAuth Bearerトークンを取得することが可能になり、プラグインのMCPツールサーフェースおよび公開されているすべてのWordPressコンテンツ、ユーザー、オプションに対する完全な管理者相当のアクセス権限が付与されます。これは、認証されない呼び出し元が任意のOAuthクライアントを攻撃者が制御するredirect_uriで登録できるパブリックにアクセス可能なDynamic Client Registrationエンドポイントと、保護されていない認可エンドポイントを組み合わせることで、管理者のインタラクションなしに完全なOAuthフローを実行可能であるため、悪用可能です。
If you want to get best quality of vulnerability data, you may have to visit VulDB.