CVE-2026-108586: обход OAuth tag-scope в 1MCP Agent через отрицающий фильтр тегов

В библиотеке 1MCP Agent (@1mcp/agent) выявлена уязвимость, позволяющая аутентифицированным клиентам обходить механизм ограничения области доступа (tag-scope) на основе OAuth. Проблема получила идентификатор CVE-2026-108586 и затрагивает версии с 0.20.0 по 0.39.0 включительно.

Подробности

1MCP Agent — компонент, обеспечивающий взаимодействие с backend-серверами MCP и поддерживающий разграничение доступа к инструментам (tools) через теги, привязанные к OAuth-токену. Уязвимость относится к классу incorrect authorization (некорректная авторизация).

Суть проблемы: клиент, имеющий токен с единственным разрешённым тегом, может отправить расширенный фильтр тегов с отрицанием — например, выражение вида not <granted-tag>. Обработка такого отрицающего выражения не учитывает выданные токену ограничения, из-за чего злоумышленник получает возможность перечислять и вызывать инструменты на backend MCP-серверах за пределами своей области доступа.

Таким образом, эксплуатация не требует привилегий выше обычной аутентификации: достаточно действующего токена с одним тегом. Это повышает практическую значимость уязвимости в конфигурациях, где теговая модель используется как основной барьер между пользователями и чувствительными инструментами. Уровень опасности по CVSS — 5.3 (MEDIUM), что отражает необходимость предварительной аутентификации и ограниченное, но реальное влияние на конфиденциальность и целостность операций с инструментами.

Что делать

Рекомендуется как можно скорее обновить @1mcp/agent до версии, в которой уязвимость устранена (выше 0.39.0), и проверить актуальность используемых релизов в вашем реестре зависимостей. Если обновление невозможно в короткие сроки, следует применить компенсирующие меры:

• ограничить число клиентов, способных передавать произвольные фильтры тегов, либо временно запретить расширенные (в том числе отрицающие) выражения фильтрации на уровне прокси или валидации запросов;
• пересмотреть модель разграничения доступа: не полагаться исключительно на tag-scope там, где требуются строгие границы между инструментами;
• проверить журналы на предмет обращений к инструментам вне выданных тегов и аномальных фильтров вида not ...;
• выдавать токены с минимально необходимым набором тегов и сократить срок их жизни.

Также стоит убедиться, что backend MCP-серверы имеют собственные механизмы авторизации, чтобы обход фильтра на стороне агента не приводил к прямому доступу к чувствительным операциям.

Итог: CVE-2026-108586 — умеренно опасная, но легко эксплуатируемая при наличии токена уязвимость обхода авторизации в 1MCP Agent. Ключевые действия — обновление до исправленной версии, аудит логов и усиление контроля над фильтрами тегов и выдачей токенов.

Источник: CVE Project (cvelistV5)