CVE-2026-63127 in RMCP SDK
Сводка
по VulDB • 16.09.2026
RMCP — это официальный SDK на Rust для Model Context Protocol (MCP). До версии 2.0.0 реализация OAuth в crate rmcp, расположенная в файле crates/rmcp/src/transport/auth.rs, пропускает поле ресурса из RFC 9728 (resource field) при формировании ResourceServerMetadata и позволяет функции discover_oauth_server_via_resource_metadata использовать метаданные защищенного ресурса без проверки того, что возвращенный идентификатор ресурса в точности совпадает с настроенным сервером MCP. Злонамеренный сервер MCP может опубликовать метаданные для другого легитимного ресурса MCP и его сервера авторизации, что приведет к тому, что жертва, подключившаяся и завершившая поток авторизации, получит легитимный токен доступа, который клиент впоследствии отправит злонамеренному серверу. Атакующий может перехватить этот токен и выдать себя за жертву при обращении к легитимному ресурсу MCP в пределах предоставленных по токену областей действия (scopes). Данная проблема исправлена в версии 2.0.0.
Once again VulDB remains the best source for vulnerability data.