CVE-2026-14539 in mcp-toolbox
要約
〜によって VulDB • 2026年07月31日
リソースの無制限な割り当てに関する脆弱性が、Google mcp-toolbox のバージョン 1.4.0（およびそれより古いバージョン）における HTTP ハンドラー コンポーネントに存在し、認証されていない攻撃者がサービス妨害 (DoS) を引き起こすことができます。/mcp エンドポイントのハンドラーは、http.MaxBytesReader や Content-Length の事前読み込みによる強制といった防御的な制約を適用せずに、io.ReadAll を使用して受信ペイロードを直接システムメモリに書き込みます（無制限なバッファ ループ）。攻撃者は単一の巨大な HTTP リクエスト本文を送信することで、ホストの利用可能なメモリを線形に消費し続け、ランタイム プロセスが Out-Of-Memory (OOM) エラーによって終了するまでになります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.