CVE-2026-14538 in mcp-toolbox
Zusammenfassung
von VulDB • 31.07.2026
Eine Schwachstelle mit unzulässiger Autorisierung und Umgehung der Sicherheitsgrenze in der Komponente bigquery-execute-sql des Tools Google mcp-toolbox (Versionen 0.16.1 bis 1.4.0) ermöglicht es einem authentifizierten Angreifer, die Validierungsprüfungen für allowedDatasets zu umgehen. Die Toolbox stützt sich zur Durchsetzung von Dataset-Einschränkungen auf die BigQuery dry-run-API; aufgrund eines Fehlers in der Fail-Open-Logik wird jedoch eine Umgehung der Validierung durchgeführt, wenn die API ein leeres Array für spezialisierte Konstrukte zurückgibt. Dies ermöglicht es dem Angreifer, strukturelle DDL-Schemata für explizit ausgeschlossene Datasets über INFORMATION_SCHEMA zu extrahieren und auf nachgelagerte federierte Zeilendaten über EXTERNAL_QUERY-Verbindungen zuzugreifen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.