PT-2025-18345 · Unknown · Workers-Oauth-Provider

CVE-2025-4144 · Publicado 2025-05-01 · Atualizado 2025-05-01

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas workers-oauth-provider (versões afetadas não especificadas)

Descrição O problema está relacionado à implementação do OAuth no workers-oauth-provider, parte do framework MCP. Um atacante poderia fazer com que a verificação PKCE fosse ignorada, contornando completamente a proteção PKCE. O PKCE é um mecanismo de defesa em profundidade contra certos tipos de ataques e é obrigatório no rascunho do OAuth 2.1, que também é exigido pela especificação MCP.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2025-4144

GHSA-QGP8-V765-QXX9

GHSA-VH4H-FVQF-Q9WV

Produtos afetados

Workers-Oauth-Provider

Referências · 12

• https://github.com/cloudflare/workers-oauth-provider/pull/27 · Correção
• https://github.com/cloudflare/workers-mcp · Nota
• https://github.com/cloudflare/workers-oauth-provider/security/advisories/GHSA-qgp8-v765-qxx9 · Nota
• https://github.com/cloudflare/workers-oauth-provider · Nota
• https://osv.dev/vulnerability/GHSA-qgp8-v765-qxx9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-4144 · Nota de Segurança
• https://twitter.com/CVEnew/status/1917775350039269494 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-4144 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vh4h-fvqf-q9wv · Aviso do Fabricante
• https://t.me/cvetracker/22775 · Publicação no Telegram
• https://t.me/cvedetector/24175 · Publicação no Telegram
• https://t.me/cvenotify/120425 · Publicação no Telegram