- Yama var
- Son 7 gün
- CWE-346
CVE-2026-123272
mcp-go before v1.2.1 Origin Validation Error via Unvalidated Well-Known Protected Resource Metadata
Yüksek
8,0
CVSS 3.1
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
Mark3labs mcp-go before v1.2.1 contains an improper validation vulnerability in OAuthHandler.fetchServerMetadata that allows malicious MCP servers to obtain tokens for other resources by declaring arbitrary resources in well-known metadata. Attackers can declare a different MCP server as the RFC 8707 resource indicator, causing the authorization server to mint tokens the attacker replays against that resource.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mark3labs mcp-go | ≥ v0.48.0, < v1.2.1 | v1.2.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…mcp-go/security/advisories/GHSA-xf6j-693p-wqxx Üretici bülteni
- github.com/mark3labs/mcp-go/pull/1053 Yama
- github.com/…ommit/90d247ed8d45cbb7d71d9a95e112789b78760443 Yama
- vulncheck.com/…lidated-well-known-protected-resource-metadata Üçüncü taraf
- github.com/mark3labs/mcp-go/releases/tag/v1.2.1 Diğer
- github.com/…d8e5e53fc8c6d3f57abf/client/transport/oauth.go Diğer
Kayıt geçmişi
- Yayımlandı