CVE-2026-108716

Nome do Software Vulnerável e Versões Afetadas mcp-remote versões 0.8.0 through 0.14.3

Description O software contém um problema de transmissão em texto claro na função authorizeWithDeviceCode(). Isso ocorre quando segredos do cliente são enviados e tokens são recebidos sem a imposição de endpoints HTTPS. Se os endpoints de autorização de dispositivo e de token forem URLs HTTP que não sejam de loopback, um invasor de rede no caminho pode capturar o segredo do cliente, além dos tokens de acesso e de atualização emitidos.

Recommendations Atualize o mcp-remote para uma versão posterior à 0.14.3. Como mitigação temporária, certifique-se de que todos os endpoints de autorização de dispositivo e de token utilizem HTTPS para evitar a transmissão em texto claro.