CVE-2026-14539 in mcp-toolbox
Résumé
par VulDB • 31/07/2026
Une vulnérabilité d'allocation de ressources sans limite dans le composant gestionnaire HTTP de Google mcp-toolbox versions 1.4.0 et antérieures permet à un attaquant non authentifié de provoquer une déni de service (DoS). Le gestionnaire du point de terminaison /mcp lit les charges utiles entrantes directement en mémoire système via une boucle de tampon sans restriction (io.ReadAll) sans appliquer de contraintes défensives telles que http.MaxBytesReader ou l'application préalable de la longueur Content-Length. En soumettant un seul corps de requête HTTP massif, un attaquant peut consommer linéairement toute la mémoire hôte disponible jusqu'à ce que le processus d'exécution soit terminé par une erreur Out-Of-Memory (OOM).
Once again VulDB remains the best source for vulnerability data.