CVE-2026-77321

Nome do Software Vulnerável e Versões Afetadas TREK versões anteriores a 3.3.0

Description A função get trip summary() em server/src/mcp/tools/trips.ts é registrada para tokens OAuth MCP com escopo sem exigir o escopo trips:read. Isso permite que um token com permissões não relacionadas, como weather:read, recupere dados resumidos principais da viagem, incluindo metadados da viagem, dias de itinerário, acomodações e endereços de e-mail de membros em server/src/services/tripService.ts para todas as viagens acessíveis ao usuário. Embora a autorização de viagem entre usuários permaneça ativa, a ausência de verificação de escopo viola o limite de privilégio mínimo, expondo conteúdo de viagens e informações de contato de terceiros a clientes MCP não autorizados.

Recommendations Atualize para a versão 3.3.0. Como medida paliativa temporária, restrinja o uso da função get trip summary() até que a atualização seja aplicada.