توجد مشكلة في التحقق غير السليم في تدفق تسجيل الدخول MCP OAuth. يستخدم النظام بيانات وصف المورد المحمي التي يوفرها الخادم كمؤشر للمورد دون التحقق من مطابقتها لرابط الخادم المكون. يسمح هذا لخادم MCP ضار بالتصريح عن مورد آخر على نفس خادم التفويض، والحصول على رمز حامل (bearer token) الخاص بالمستخدم لهذا المورد، ثم إعادة استخدام هذا الرمز ضد المورد الآخر.