PT-2026-6777 · Unknown+1 · Mcp-Salesforce-Connector+1

Mn2Gnt · Publicado 2026-02-06 · Atualizado 2026-04-23 · CVE-2026-25650

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do MCP Salesforce Connector anteriores a 0.1.10

Descrição O software é uma implementação de servidor do Model Context Protocol (MCP) para integração com o Salesforce. Existe uma falha na qual o acesso arbitrário a atributos pode levar à divulgação de tokens de autenticação do Salesforce. O problema afeta a divulgação de tokens de portador OAuth do Salesforce utilizados pelo MCP.

Recomendações Atualize para a versão 0.1.10 ou posterior. Rotacione quaisquer tokens ou credenciais do Salesforce utilizados pelo MCP-Salesforce.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-25650

GHSA-VF6J-C56P-CQ58

Produtos afetados

Mcp-Salesforce-Connector

Salesforce

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25650.json · Exploit
• https://github.com/smn2gnt/MCP-Salesforce/security/advisories/GHSA-vf6j-c56p-cq58 · Aviso do Fabricante
• https://github.com/smn2gnt/MCP-Salesforce/commit/a1e3a5a786f48508d066b6d40b58201ebf9b7fd6 · Correção
• https://github.com/smn2gnt/MCP-Salesforce/releases/tag/v0.1.10 · Nota
• https://github.com/smn2gnt/MCP-Salesforce · Nota
• https://osv.dev/vulnerability/CVE-2026-25650 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2019857597793194036 · Publicação no Twitter
• https://twitter.com/ai_security_10x/status/2047392439980507516 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vf6j-c56p-cq58 · Aviso do Fabricante
• https://twitter.com/ai_security_10x/status/2047150488941146206 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25650 · Nota de Segurança