CVE-2026-123272
Yüksek
Açıklama
v1.2.1 öncesindeki Mark3labs mcp-go, OAuthHandler.fetchServerMetadata bileşeninde, kötü niyetli MCP sunucularının iyi bilinen meta verilerde rastgele kaynaklar beyan ederek diğer kaynaklar için token elde etmesine olanak tanıyan hatalı bir doğrulama zafiyeti içermektedir. Saldırganlar, farklı bir MCP sunucusunu RFC 8707 kaynak göstergesi olarak beyan ederek, yetkilendirme sunucusunun saldırganın söz konusu kaynağa karşı yeniden oynatabileceği token'lar üretmesine neden olabilirler.
ÖnemYüksek
CVSS8.0
İstismar olasılığı—
ÜrünMark3labs Mcp-go
Yayın5 Kas 2026
İlk görülme5 Kas 2026
Zayıflık türüCWE-346CWE-346
Nasıl düzeltilir
Güncelleyin
- mark3labs mcp-gov1.2.1 ya da sonraki bir sürüm
Yamalar
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mark3labs mcp-go | v0.48.0 ≤ v < v1.2.1 | v1.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.