CVE-2026-101063

Nome do Software Vulnerável e Versões Afetadas Obot versões anteriores a 0.23.0

Descrição Quando a autenticação do registro é ativada por meio da variável OBOT SERVER ENABLE REGISTRY AUTH, o software falha ao aplicar a autenticação nos endpoints do MCP Registry sob o caminho /v0.1/*. Isso ocorre porque o autorizador utiliza um conjunto fixo de prefixos protegidos e permite por padrão os demais; como o prefixo /v0.1 não estava nesse conjunto, requisições anônimas eram autorizadas antes de atingirem o desafio de autenticação. Atacantes não autenticados podem enviar requisições GET para o endpoint /v0.1/servers para ler metadados do registro, incluindo nomes de servidores, descrições, URLs de repositório e URLs de conexão. Este problema não expõe valores de credenciais, e usuários não autenticados não podem se conectar aos servidores, pois o processo de conexão permanece protegido.

Recomendações Atualize para a versão 0.23.0 ou posterior.