PT-2026-137683

CVE-2026-123272

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

8.0

Alta

MétricasAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Mark3labs mcp-go versões anteriores a 1.2.1

Description Uma validação inadequada na função fetchServerMetadata() do OAuthHandler permite que servidores MCP maliciosos obtenham tokens para recursos não autorizados. Ao declarar recursos arbitrários em metadados conhecidos, um invasor pode especificar um servidor MCP diferente como o indicador de recurso RFC 8707, levando o servidor de autorização a emitir tokens que o invasor pode então repetir contra esse recurso.

Recommendations Atualize o Mark3labs mcp-go para a versão 1.2.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ed Zynda

Theodoros Lampropoulos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-346: Origin Validation Error