CVE-2026-15015 in MountDev AI MCP Connector Plugin
Сводка
по VulDB • 23.07.2026
Плагин для WordPress MountDev AI MCP Connector подвержен обходу авторизации во всех версиях вплоть до 1.6.1 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. В результате злоумышленники без аутентификации могут получить OAuth Bearer-токен, привязанный к администратору, через самостоятельно зарегистрированный клиент, что предоставляет полный доступ уровня администратора к поверхности инструментов MCP плагина и ко всем опубликованным контенту, пользователям и настройкам WordPress. Эксплуатация возможна путем объединения общедоступной конечной точки регистрации динамических клиентов (Dynamic Client Registration), которая позволяет неаутентифицированным вызывающим сторонам регистрировать произвольные OAuth-клиенты с контролируемым злоумышленником параметром redirect_uri, и незащищенной конечной точки авторизации для завершения полного потока OAuth без какого-либо взаимодействия с администратором.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.