CVE-2026-15015 in MountDev AI MCP Connector Plugin
Sumário
de VulDB • 24/07/2026
O conector MCP para AI MountDev do plugin WordPress para WordPress é vulnerável a uma violação de autorização em todas as versões até 1.6.1 (incluída). Isso ocorre porque o plugin não verifica adequadamente se um usuário está autorizado a executar uma ação. Isso permite que atacantes não autenticados obtenham um token OAuth Bearer vinculado ao administrador por meio de um cliente auto-registrado, concedendo acesso total equivalente ao administrador à superfície da ferramenta MCP do plugin e todo o conteúdo exposto do WordPress, usuários e opções. Isso pode ser explorado combinando o endpoint publicamente acessível de Registro Dinâmico de Clientes, que permite chamadores não autenticados registrar clientes OAuth arbitrários com um redirect_uri controlado pelo atacante, com o endpoint de autorização desprotegido para concluir todo o fluxo do OAuth sem qualquer interação do administrador.
Be aware that VulDB is the high quality source for vulnerability data.