CVE-2026-79786

Description

Coroot's unauthenticated MCP OAuth dynamic client registration endpoint accepts any syntactically valid redirect URI without validation, allowing attackers to register clients pointing to attacker-controlled hosts. Attackers can send authorization URLs to signed-in users, capture their authorization codes upon consent approval, and exchange them for access tokens to hijack MCP sessions.

Gravité et risque d'exploitation

CVE-2026-79786 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.27 %, ce qui la place devant 18.3 % des CVE référencées.

Que faire ?

• Vérifiez si coroot (versions 1.20.2, <=1.24.5) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://github.com/coroot/coroot
• https://github.com/coroot/coroot/issues/929
• https://github.com/coroot/coroot/blob/v1.24.5/api/mcp_oauth.go
• https://www.vulncheck.com/advisories/coroot-1.20.2-through-1.24.5-unvalidated-redirect-uri-in-mcp-oauth-client-registration