CVE-2026-14537
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do chronionych narzędzi, co może prowadzić do naruszenia bezpieczeństwa danych i systemu.
Rekomendacja
Zaktualizuj Google mcp-toolbox do wersji zawierającej poprawkę. Wyłącz legacy endpointy HTTP lub ogranicz ich dostępność.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization in the direct HTTP API tool invocation endpoint in Google mcp-toolbox versions v1.3.0 and v1.4.0 allows an unauthenticated attacker to invoke tools protected by the scopeRequired feature via sending tool invocation requests through legacy HTTP endpoints when the --enable-api flag is active.