CVE-2026-15015 in MountDev AI MCP Connector Plugin
요약
\~에 의해 VulDB • 2026. 07. 24.
WordPress용 MountDev AI MCP Connector 플러그인은 1.6.1 버전까지 모든 버전에서 권한 우회 취약점이 존재합니다. 이는 플러그인이 사용자가 작업을 수행할 수 있는 권한이 있는지 적절하게 검증하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자가 자체 등록된 클라이언트를 통해 관리자 바인딩 OAuth Bearer 토큰을 획득하여, 플러그인의 MCP 도구 표면과 노출된 모든 WordPress 콘텐츠, 사용자 및 옵션에 대한 전체 관리자 수준의 접근 권한을 얻을 수 있습니다. 이는 인증 없이 호출할 수 있는 Dynamic Client Registration 엔드포인트(공격자가 제어하는 redirect_uri로 임의의 OAuth 클라이언트를 등록 가능)와 보호되지 않은 authorization 엔드포인트를 결합하여 관리자의 상호 작용 없이 전체 OAuth 흐름을 완료함으로써 악용될 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.