Oficjalne SDK Pythona dla Model Context Protocol (MCP) zawierało poważną lukę, która umożliwiała złośliwym serwerom przechwytywanie danych uwierzytelniających OAuth. Podatne wersje SDK nie weryfikowały poprawności adresu serwera autoryzacji, co pozwalało atakującym na podszycie się pod niego i wyłudzenie klucza tajnego klienta, kodu autoryzacyjnego oraz klucza dowodowego PKCE. Skradzione dane umożliwiały uzyskanie dostępu do zasobów aplikacji, mając uprawnienia przypisane jej przez użytkownika.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)