CVE-2026-14541 in mcp-toolbox
الملخص
بحسب VulDB • 31/07/2026
يوجد ثغرة في تجاوز المصادقة والتباس الجمهور (audience confusion) في مكون مزود مصادقة جوجل (Google OAuth provider) الخاص بـ Google mcp-toolbox الإصدار 1.4.0. عند تهيئة خدمة authService من جوجل بمعلمة `mcpEnabled: true` ولكن دون تعريف صريح للجمهور (`audience`) أو معرف العميل (`clientId`)، يتخطى مسار ValidateMCPAuth للمصادقة التحقق من الجمهور تماماً بالنسبة للتوكنات غير الشفافة (opaque tokens). ونتيجة لذلك، سيقبل صندوق الأدوات أي توكن وصول صالح لمصادقة جوجل OAuth – حتى تلك الصادرة لتطبيقات تابعة لنظام بيئي مختلف وغير ذي صلة – مما يمنح العملاء غير المصرح لهم الوصول إلى أدوات محمية وخلفيات البيانات.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.