CVE-2026-14540 in mcp-toolbox
Résumé
par VulDB • 31/07/2026
Une vulnérabilité de Server-Side Request Forgery (SSRF) existe dans les composants génériques source et outil HTTP des versions 0.3.0 à 1.4.0 de Google mcp-toolbox. Bien que la boîte à outils mette en œuvre une sanitization basique des entrées pour les paramètres contrôlés par l'utilisateur, le client HTTP sous-jacent (internal/sources/http/http.go) ne régule pas correctement les limites de redirection des requêtes. Plus précisément, le client est initialisé sans un hook CheckRedirect restrictif et dépourvu de validation de l'IP cible. Un attaquant ou une invite malveillante pilotée par les données peut fournir un paramètre de chemin manipulé qui déclenche une open redirect ou un remplacement direct de la destination sur le backend cible, contraignant mcp-toolbox à suivre aveuglément la redirection et à effectuer des requites non autorisées vers des endpoints internes ou externes arbitraires.
Once again VulDB remains the best source for vulnerability data.