CVE-2026-101084 · CVSS 9.6 · obot versions before v0.21.1 fail to enforce Access Control Rules on the /mcp-connect endpoint, allowing any authenticated user to connect …

NVD (CVSS crítico) · 27 sept, 23:17

obot en versiones anteriores a v0.21.1 no valida correctamente las reglas de control de acceso en el endpoint /mcp-connect, permitiendo que cualquier usuario autenticado se conecte a servidores MCP restringidos si conoce el ID del servidor. Los atacantes pueden eludir las comprobaciones de autorización para acceder y manipular sistemas backend sensibles mediante llamadas a herramientas MCP usando credenciales OAuth almacenadas.