mcp-go OAuth 클라이언트의 검증되지 않은 리소스 정보 수락 문제
AI 연결용 개발 부품에서 로그인 권한이 새어 나갈 수 있습니다.
요약
mcp-go의 OAuth 클라이언트가 well-known 메타데이터의 리소스 값을 검증하지 않아, 악의적인 MCP 서버가 다른 리소스용 액세스 토큰을 얻을 수 있습니다. v0.48.0부터 v1.2.0까지 영향을 받습니다.
해당 조건
- mcp-go의 OAuth 클라이언트 전송 기능 사용
- 악의적이거나 침해된 MCP 서버에 연결
대처법
v1.2.1로 업데이트하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림) · github.com (새 탭에서 열림)
- 분석 글: github.com (새 탭에서 열림) · vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인