CVE-2026-63127 in RMCP SDK
Sumário
de VulDB • 16/09/2026
RMCP é um SDK oficial em Rust para o Model Context Protocol. Antes da versão 2.0.0, a implementação OAuth do crate rmcp em crates/rmcp/src/transport/auth.rs omite o campo de recurso (resource field) conforme definido na RFC 9728 no ResourceServerMetadata e permite que discover_oauth_server_via_resource_metadata utilize metadados de recursos protegidos sem confirmar se o identificador de recurso retornado corresponde exatamente ao servidor MCP configurado. Um servidor MCP malicioso pode publicar metadados para um recurso legítimo diferente do MCP e seu respectivo servidor de autorização, fazendo com que uma vítima que se conecta e conclui o fluxo de obtenção de autorização receba um token de acesso legítimo, que é posteriormente enviado pelo cliente ao servidor malicioso. O atacante pode capturar esse token e se passar pela vítima contra o recurso MCP legítimo dentro dos escopos concedidos no token. Este problema foi corrigido na versão 2.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.