CVE-2026-77321 in TREK
摘要
由 VulDB • 2026-09-24
TREK是一款协作式旅行规划工具。在版本3.3.0之前，`server/src/mcp/tools/trips.ts`中的`get_trip_summary`工具被注册为使用作用域化的OAuth MCP令牌，但未要求具备`trips:read`权限，并且无论委托的作用域如何，都会返回核心的行程摘要数据。仅授予不相关能力（例如`weather:read`）的令牌也能获取行程元数据、来自`server/src/services/tripService.ts`的成员电子邮件地址、行程天数以及每个对该令牌用户可访问的行程中的住宿信息。跨用户的行程授权仍然有效，但缺失的作用域检查破坏了经同意的最小权限边界，导致未获授权读取该内容的MCP客户端能够暴露行程内容和第三方联系信息。此问题已在版本3.3.0中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.