Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Критический
PoC
Опубликована

CVE-2026-101084

obot before v0.21.1 Authorization Bypass via /mcp-connect

Публикация: 27.09.2026·Обновлена: 01.10.2026, 01:12·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

obot versions before v0.21.1 fail to enforce Access Control Rules on the /mcp-connect endpoint, allowing any authenticated user to connect to restricted MCP servers if they possess the server ID. Attackers can bypass authorization checks to access and manipulate sensitive backend systems through MCP tool calls using stored OAuth credentials.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Сформировано автоматически из полей источников и общих шаблонов
Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

obot-platform / obot 

{
  "status": "affected",
  "version": "0",
  "lessThan": "0.21.1",
  "versionType": "semver"
}
{
  "status": "unaffected",
  "version": "0.21.1",
  "versionType": "semver"
}

CVSS: оценки и векторы

CVSS 4.0 · cve9.3
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиинизкие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системывысокое
VI · Целостность уязвимой системывысокое
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системывысокое
SI · Целостность связанной системывысокое
SA · Доступность связанной системынет
CVSS 3.1 · cve9.6
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиинизкие
UI · Участие пользователяне нужно
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьвысокое
A · Доступностьнет

Классы CWE

CWE-639 ↗

Источники и ссылки

PoC / эксплойт · github.com · cveМатериал · www.vulncheck.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-29T08:08:41.170915+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:33:51.745911+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:33:51.745911+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:33:51.745911+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-29T08:08:41.170915+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:33:51.745911+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены29.10.2026, 11:08
  2. Появилась ссылка на PoC28.10.2026, 22:33

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-114662
Obot before 0.26.0 API Key Theft via CLI Login Token Request
obot-platform / obot
Высокий8.6
0,17 %
22.10.2026
CVE-2026-105140
Obot 0.25.0 before 0.25.6 and 0.26.0 before 0.26.1 Race Condition Restores Revoked Group Membership
obot-platform / obot
Низкий2.3
0,18 %
Патч
07.10.2026
CVE-2026-105138
Obot 0.12.0 before 0.26.2 Credential Exposure via MCP Catalog Entry API
obot-platform / obot
Высокий7.1
0,26 %
Патч
07.10.2026
CVE-2026-105139
Obot 0.26.0 before 0.26.2 Authorization Bypass via vMCP Profile Prompts and Resources
obot-platform / obot
Средний5.3
0,23 %
Патч
07.10.2026
CVE-2026-103758
Obot 0.21.1 through 0.24.1 Authorization Bypass via /mcp-connect-composite/ Route
obot-platform / obot
Высокий8.6
0,22 %
01.10.2026