cve.now·· 2 小时前推荐指数49
CVE-2026-123272：mcp-go v1.2.1 之前版本 OAuth 元数据未校验导致 Origin 验证错误
CVE-2026-123272: mcp-go before v1.2.1 Origin Validation Error via Unvalidated Well-Known Protected Resource Metadata
AI 导读
mcp-go（Mark3labs）v1.2.1 之前版本存在 CVE-2026-123272，OAuthHandler.fetchServerMetadata 未校验 well-known 元数据中的 RFC 8707 resource indicator，恶意 MCP 服务器可声明任意资源骗取授权服务器签发令牌并重放到其他资源。
来源：cve.now · cve.now