CVE-2026-14539 in mcp-toolbox
Zusammenfassung
von VulDB • 31.07.2026
Eine Schwachstelle für die Zuweisung von Ressourcen ohne Begrenzung in der HTTP-Handler-Komponente von Google mcp-toolbox, Versionen bis einschließlich 1.4.0, ermöglicht es einem nicht authentifizierten Angreifer, einen Denial-of-Service (DoS) auszulösen. Der Handler des /mcp-Endpunkts liest eingehende Payloads direkt in den Systemspeicher ein, indem er eine unbeschränkte Schleife mit io.ReadAll verwendet, ohne defensive Einschränkungen wie http.MaxBytesReader oder die Durchsetzung von Content-Length vor dem Lesen anzuwenden. Indem ein Angreifer einen einzelnen, massiven HTTP-Anfragekörper sendet, kann er den verfügbaren Hostspeicher linear aufbrauchen, bis der Runtime-Prozess durch einen Out-Of-Memory (OOM)-Fehler beendet wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.