Apa yang terjadi
Alur login OAuth MCP mempercayai metadata sumber daya yang dilindungi yang diiklankan server sendiri sebagai indikator sumber daya RFC 8707 dan membuat/menerima token yang dibatasi untuk sumber daya yang tidak dimaksudkan oleh klien. Karena indikator tidak divalidasi terhadap URL server yang dikonfigurasi, server MCP yang berbahaya dapat mendapatkan token pembawa untuk sumber daya berbeda pada server otorisasi yang sama dan memutarnya ulang di sana.
Mengapa penting
Server MCP secara rutin ditambahkan oleh agen AI dan alat pengkodean, yang mendapatkan token OAuth berumur panjang atas nama pengguna. Cacat kebingungan token memungkinkan server MCP yang berbahaya mengeksfiltrasi kredensial yang dimaksudkan untuk sumber daya berbeda, memungkinkan akses tidak sah ke endpoint MCP/layanan AI pengguna lainnya.
Vektor serangan
Kedua implementasi menggunakan Metadata Sumber Daya yang Dilindungi / metadata well-known yang disediakan server sebagai indikator sumber daya RFC 8707 tanpa memeriksa apakah itu cocok dengan URL server yang dikonfigurasi. Server MCP yang berbahaya menyatakan sumber daya berbeda (atau server MCP lain) sebagai indikator sumber daya, menyebabkan server otorisasi membuat token pembawa untuk sumber daya target tersebut; penyerang kemudian memutar ulang token yang dicuri terhadap sumber daya lain.
Sistem yang terdampak
ChatCLI < v1.215.2 (CVE-2026-123271); Mark3labs mcp-go < v1.2.1 (CVE-2026-123272)
Mitigasi
Tingkatkan ChatCLI ke >=v1.215.2 (GHSA-95vg-3r9c-2v5q) dan Mark3labs mcp-go ke >=v1.2.1 (GHSA-xf6j-693p-wqxx). Verifikasi bahwa alur OAuth klien mengunci indikator sumber daya yang diharapkan ke URL server yang dikonfigurasi.