跳到正文
热点事件持续更新

mcp-go OAuth元数据校验漏洞CVE-2026-123272披露

1 篇报道1 个报道来源1 小时前更新

先了解这件事

AI 综述

CVE-2026-123272披露：Mark3labs mcp-go v1.2.1 之前版本的 OAuthHandler.fetchServerMetadata 未校验 well-known 元数据中的 RFC 8707 resource indicator，恶意 MCP 服务器可声明任意资源，骗取授权服务器签发令牌并重放到其他资源。 受影响版本为 mcp-go v0.48.0 至 v1.2.1 之前；攻击可经网络远程触发、无需登录，但需要用户执行操作（如批准授权）。官方建议升级到 v1.2.1 修复。

AI 根据报道生成 · 1 小时前更新

最新进展11月6日 02:55
CVE-2026-123272：mcp-go v1.2.1 之前版本 OAuth 元数据未校验导致 Origin 验证错误

报道时间线

沿着报道，了解事件的不同侧面。

11月6日
  1. cve.now
    CVE-2026-123272：mcp-go v1.2.1 之前版本 OAuth 元数据未校验导致 Origin 验证错误

    mcp-go（Mark3labs）v1.2.1 之前版本存在 CVE-2026-123272，OAuthHandler.fetchServerMetadata 未校验 well-known 元数据中的 RFC 8707 resource indicator，恶意 MCP 服务器可声明任意资源骗取授权服务器签发令牌并重放到其他资源。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。