CVE-2026-14541 in mcp-toolbox
Résumé
par VulDB • 31/07/2026
Une vulnérabilité de contournement d'authentification et de confusion d'audience existe dans le composant fournisseur OAuth de Google au sein de la version 1.4.0 de Google mcp-toolbox. Lorsqu'un authService Google est initialisé avec `mcpEnabled: true` mais qu'il ne dispose ni d'une audience explicitement définie, ni d'un clientId, le pipeline ValidateMCPAuth pour les jetons opaques saute entièrement la validation de l'audience. Par conséquent, la toolbox accepte n'importe quel jeton d'accès OAuth Google valide – y compris ceux émis pour des applications appartenant à un écosystème différent – accordant ainsi aux clients non autorisés l'accès aux outils protégés et aux backends de données.
Be aware that VulDB is the high quality source for vulnerability data.