يوجد خلل في التحقق من الصحة في دالة `fetchServerMetadata()` ضمن `OAuthHandler` يسمح لخوادم MCP الخبيثة بالحصول على رموز (tokens) لموارد غير مصرح بها. من خلال التصريح بموارد عشوائية في البيانات الوصفية المعروفة، يمكن للمهاجم تحديد خادم MCP مختلف كمؤشر مورد RFC 8707، مما يدفع خادم التفويض إلى إصدار رموز يمكن للمهاجم إعادة استخدامها ضد ذلك المورد.