CVE-2026-14540
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W Google mcp-toolbox w wersjach 0.3.0 do 1.4.0 istnieje podatność SSRF w komponentach źródła HTTP i narzędzi, spowodowana brakiem restrykcyjnej polityki CheckRedirect i walidacji IP docelowego, co pozwala na przekierowanie żądań do wewnętrznych lub zewnętrznych punktów końcowych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych lub wykonać nieautoryzowane żądania, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaktualizuj Google mcp-toolbox do wersji zawierającej poprawkę. Skonfiguruj restrykcyjną politykę CheckRedirect i walidację IP docelowego.
Inne podatności w Google mcp-toolbox
Zobacz wszystkie- CVE-2026-14537Krytyczne
W Google mcp-toolbox w wersjach v1.3.0 i v1.4.0, nieprawidłowa autoryzacja w punkcie końcowym bezpośredniego wywołania narzędzia HTTP API pozwala nieuwierzytelnionemu atakującemu na wywoływanie narzędzi chronionych funkcją scopeRequired przez legacy endpointy HTTP, gdy flaga --enable-api jest aktywna.
- CVE-2026-14541Wysokie
W Google mcp-toolbox w wersji 1.4.0, gdy uwierzytelnianie Google OAuth jest skonfigurowane z mcpEnabled: true bez jawnego audience lub clientId, pomijana jest walidacja audience dla tokenów opaque, co pozwala na akceptację dowolnego ważnego tokena Google OAuth z innych aplikacji.
- CVE-2026-14539Wysokie
Google mcp-toolbox w wersjach do 1.4.0 zawiera podatność na nieograniczoną alokację zasobów w komponencie HTTP handler. Punkt końcowy /mcp odczytuje przychodzące dane bezpośrednio do pamięci systemowej za pomocą nieograniczonej pętli bufora (io.ReadAll) bez stosowania ograniczeń obronnych, takich jak http.MaxBytesReader. Nieuwierzytelniony atakujący może wysłać pojedyncze, ogromne żądanie HTTP, powodując liniowe zużycie pamięci hosta aż do zakończenia procesu przez błąd OOM.
- CVE-2026-14538Wysokie
Google mcp-toolbox w wersjach od 0.16.1 do 1.4.0 zawiera podatność na nieprawidłową autoryzację i obejście granicy bezpieczeństwa w komponencie bigquery-execute-sql. Narzędzie polega na API BigQuery dry-run w celu egzekwowania ograniczeń zbiorów danych, ale z powodu błędu logiki fail-open pomija walidację, gdy API zwraca pustą tablicę dla specjalistycznych konstrukcji. Uwierzytelniony atakujący może wyodrębnić strukturalne schematy DDL dla wykluczonych zbiorów danych poprzez INFORMATION_SCHEMA oraz uzyskać dostęp do sfederowanych danych wierszowych poprzez połączenia EXTERNAL_QUERY.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) vulnerability exists in the generic HTTP source and tool components of Google mcp-toolbox versions 0.3.0 through 1.4.0. While the toolbox implements baseline input sanitization for user-controlled parameters, the underlying HTTP client (internal/sources/http/http.go) fails to safely regulate request redirection boundaries. Specifically, the client is initialized without a restrictive CheckRedirect policy hook and lacks target IP validation. An attacker or a malicious data-driven prompt can supply a crafted path parameter that triggers an open redirect or a direct destination swap on the target backend, coercing the mcp-toolbox into blindly following the redirection and making unauthorized requests to internal or arbitrary external endpoints.