CVE-2026-123272mediumCWE-346

CVE-2026-123272: falha de média gravidade em mark3labs mcp-go

mcp-go before v1.2.1 Origin Validation Error via Unvalidated Well-Known Protected Resource Metadata

Publicada em

Seguir esta CVE+ Monitorar mcp-go

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.1epss 0.2%
Mark3labs mcp-go before v1.2.1 contains an improper validation vulnerability in OAuthHandler.fetchServerMetadata that allows malicious MCP servers to obtain tokens for other resources by declaring arbitrary resources in well-known metadata. Attackers can declare a different MCP server as the RFC 8707 resource indicator, causing the authorization server to mint tokens the attacker replays against that resource.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
Produtos afetados
mark3labs · mcp-go
CVEs relacionadas — mark3labs mcp-go

No mesmo produto, das mais perigosas para as menos.

CVE-2026-108859HIGHmcp-go through 1.2.1 Denial of Service via Unbounded POST Body BufferingEPSS 0.5%CVE-2026-81092HIGHmcp-go before 0.56.0 Missing Host Header Validation Enables DNS RebindingEPSS 0.2%