Betroffen ist mcp-remote, ein Verbindungswerkzeug für MCP-Server. Der Fehler liegt in der Verarbeitung der Antwort eines MCP-Servers: Die im Feld für den Autorisierungs-Endpunkt zurückgegebene URL wird ungeprüft weiterverwendet und gelangt in einen Aufruf auf Betriebssystemebene. Ein Angreifer, der einen eigenen oder manipulierten MCP-Server betreibt, kann darin gezielt präparierte Inhalte unterbringen und so eigene Betriebssystembefehle einschleusen, die auf dem Rechner des verbindenden Clients ausgeführt werden. Auslöser ist damit allein der Verbindungsaufbau zu einem nicht vertrauenswürdigen Server – der Angreifer benötigt keinen vorherigen Zugriff auf das Zielsystem, sondern muss lediglich erreichen, dass sich ein Nutzer mit seinem Server verbindet. Da die eingeschleusten Befehle mit den Rechten des ausführenden Benutzerkontos laufen, reicht die Wirkung von Datenabfluss bis zur weitgehenden Kontrolle über die lokale Umgebung.