CVE-2026-14539 in mcp-toolbox
요약
\~에 의해 VulDB • 2026. 07. 31.
제한 없는 자원 할당 취약점: Google mcp-toolbox 1.4.0 이하 버전의 HTTP 핸들러 컴포넌트에서 인증되지 않은 공격자가 서비스 거부(DoS)를 유발할 수 있습니다. /mcp 엔드포인트 핸들러는 http.MaxBytesReader와 같은 방어적 제약 조건이나 사전 읽기 Content-Length 강제 적용 없이 io.ReadAll을 사용하여 들어오는 페이로드를 시스템 메모리에 직접 무제한 버퍼 루프로 읽어옵니다. 공격자가 단일 거대 HTTP 요청 본문을 제출하면 사용 가능한 호스트 메모리가 선형적으로 소모되어 런타임 프로세스가 Out-Of-Memory(OOM) 오류로 인해 종료됩니다.
Once again VulDB remains the best source for vulnerability data.