CVE-2026-101062
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Obot przed wersją 0.23.0 (dotyczy wersji <= v0.22.1) działający z OBOT_SERVER_ENABLE_AUTHENTICATION=true udostępnia dynamiczną rejestrację klienta OAuth bez uwierzytelniania i bez żadnych ograniczeń dotyczących identyfikatorów URI przekierowań, które klient może zarejestrować. Ponieważ przepływ autoryzacji kończy się automatycznie w przypadku już zalogowanego użytkownika bez ekranu zgody, osoba atakująca, która zarejestruje klienta wskazującego jego własną domenę i nakłoni zalogowaną ofiarę do odwiedzenia pojedynczego, spreparowanego adresu URL autoryzacji, otrzyma kod autoryzacyjny w kontrolowanym przez osobę atakującą identyfikatorze URI przekierowania i może go wymienić na token dostępu i token odświeżania. Token wygenerowany przez przepływ MCP OAuth przenosi pełną grupę ofiary ustawioną w JWT, a Obot zweryfikował tylko wystawcę, a nie odbiorców, więc token jest akceptowany jako token nośnika w odniesieniu do dowolnego punktu końcowego interfejsu API Obot, do którego ofiara może uzyskać dostęp, zamiast ograniczać się do żądanego serwera MCP, umożliwiając atakującemu odczytanie lub modyfikację zasobów ofiary do czasu unieważnienia tokenu. Wersja 0.23.0 dodaje ekran zgody, ogranicza tokeny OAuth MCP do MCP zaangażowanego w żądanie i wymusza weryfikację odbiorców.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org