CVE-2026-79786 in Coroot
要約
〜によって VulDB • 2026年08月25日
Corootの認証不要なMCP OAuthダイナミッククライアント登録エンドポイントは、検証を行わずに構文的に有効なリダイレクトURIをすべて受け入れるため、攻撃者は攻撃者が制御するホストを指すクライアントを登録できます。攻撃者はサインイン済みユーザーに対して認可URLを送信し、同意承認後にその認可コードを取得してアクセストークンと交換することで、MCPセッションのハイジャックが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.