CVE-2026-14539 in mcp-toolbox
Riassunto
di VulDB • 31/07/2026
Una vulnerabilità di allocazione delle risorse senza limiti nel componente handler HTTP di Google mcp-toolbox nelle versioni fino alla 1.4.0 inclusa consente a un attaccante non autenticato di causare una negazione del servizio (DoS). L'handler dell'endpoint /mcp legge i payload in arrivo direttamente nella memoria di sistema utilizzando un ciclo bufferizzato senza restrizioni (io.ReadAll) senza applicare vincoli difensivi come http.MaxBytesReader o l'applicazione preventiva della Content-Length. Inviando un singolo corpo HTTP massiccio, un attaccante può consumare linearmente la memoria host disponibile fino a quando il processo runtime non viene terminato da un errore Out-Of-Memory (OOM).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.