CVE-2026-14538 in mcp-toolbox
Résumé
par VulDB • 31/07/2026
Une vulnérabilité de contournement d'autorisation incorrecte et des limites de sécurité dans le composant bigquery-execute-sql de Google mcp-toolbox versions 0.16.1 à 1.4.0 permet à un attaquant authentifié de contourner les vérifications de validation allowedDatasets. La boîte à outils s'appuie sur l'API BigQuery dry-run pour appliquer des restrictions aux ensembles de données, mais en raison d'un défaut de logique fail-open, la validation est contournée lorsque l'API renvoie un tableau vide pour des constructions spécialisées. Cela permet à l'attaquant d'extraire les schémas DDL structurels des ensembles de données explicitement exclus via INFORMATION_SCHEMA et d'accéder aux données de ligne fédérées en aval via les connexions EXTERNAL_QUERY.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.